Gran fuga de ‘datos públicos nacionales’ peor de lo esperado con contraseñas almacenadas en texto sin formato

A principios de este mes, el corredor de datos National Public Data (NPD) anunció que se había producido una importante violación de datos en la que los piratas informáticos obtuvieron millones de nombres, direcciones de correo electrónico, números de teléfono, números de seguridad social y direcciones postales almacenados en su base de datos. NPD es una empresa que realiza verificaciones de antecedentes de los empleados, agrega datos públicos de numerosas fuentes y los vende.

En primer lugar, claramente faltaba seguridad de NPD para permitir la violación, pero un nuevo informe de KrebsOnSecurity sugiere que un sitio hermano de NPD cometió un error aún más grave al alojar un archivo de texto sin formato de fácil acceso con nombres de usuarios y contraseñas.

RecordsCheck.net, un sitio afiliado a NPD que alberga gran parte de la misma información, tenía un archivo “members.zip” que se podía descargar hasta ayer. Tenía código fuente y nombres de usuario y contraseñas en texto plano para los usuarios de RecordsCheck, incluidos los inicios de sesión del fundador de NPD, Salvatore Verini. Los inicios de sesión que estuvieron disponibles a través de RecordsCheck permitieron el acceso a los mismos datos que estaban disponibles a través de NPD.

Después de ser alertado por KrebsOnSecurity, RecordsCheck eliminó el archivo y NPD está cerrando el sitio, según Verini. Le dijo a KrebsOnSecurity que el archivo tenía una “versión antigua del sitio con código y contraseñas que no funcionan”.

Hay sitios web disponibles para ver si su información se filtró en la infracción de NPD y es recomendable bloquear su crédito.

La filtración del NPD incluyó décadas de información, incluidos datos de personas que ya fallecieron. Se filtraron 137 millones de direcciones de correo electrónico, así como 272 millones de números de seguridad social. Desde entonces se ha presentado una demanda contra NPD.