La plataforma de identidad blockchain Fractal ID ha publicado un informe postmortem detallando la filtración de datos que la empresa sufrió el 14 de julio. La filtración se ha rastreado hasta un incidente de 2022 en el que un empleado reutilizó una contraseña comprometida.
Según Fractal ID, la cuenta comprometida pertenecía a un operador con la plataforma durante tres años y tenía derechos de administrador. Esto permitió al atacante eludir los sistemas internos de privacidad de datos, aunque la supervisión del sistema ayudó a bloquear al atacante en 29 minutos.
Causa de la filtración
El incumplimiento por parte del operador de las políticas de seguridad operativa y formación, junto con la reutilización de credenciales de hacks anteriores, facilitó la filtración.
El 14 de julio de 2024, el proveedor de verificación de identidad cripto detectó actividad inusual en una de sus oficinas de back office. Esta actividad fue identificada rápidamente como un ataque malicioso, lo que condujo a la exfiltración de datos de aproximadamente el 0.5% de su base de usuarios.
Sin embargo, Fractal ID señaló en el informe postmortem que desactivó todas las cuentas en el sistema comprometido en respuesta y limitó el acceso a empleados senior. La empresa también priorizó la mejora de sus medidas de seguridad para prevenir futuros incidentes, como la implementación de limitación de solicitudes, autorización más detallada, monitoreo más estricto de los intentos fallidos de autenticación y control de IP más riguroso.
Además de los esfuerzos internos, Fractal ID se puso en contacto con las autoridades de protección de datos pertinentes y la división de policía de cibercrimen en Berlín. La empresa también ha contratado servicios de ciberseguridad para monitorear cualquier posible distribución de datos robados en sitios conocidos de filtracións de datos.
Impacto de la filtración de datos
Según el informe, los datos robados, que afectaron a aproximadamente 6,300 usuarios, incluyen varios niveles de información, desde comprobaciones de identidad hasta verificaciones completas de KYC. Estos datos pueden incluir nombres, direcciones de correo electrónico, números de teléfono, direcciones de billeteras, direcciones físicas e imágenes de documentos cargados. Fractal ID también contactó directamente a los usuarios afectados para informarles sobre la filtración.
Los cofundadores de Fractal ID, Julian, Julio, Lluis y Anna, expresaron su pesar por el incidente y enfatizaron su compromiso con la protección de los datos de los usuarios. Reiteraron el objetivo de la empresa de avanzar hacia un sistema de almacenamiento de autocustodia para mejorar la seguridad de los datos.
Esta laguna de seguridad sirve como un recordatorio claro de las dificultades en la protección de datos. Autix10, un proveedor de ID cripto, reveló el 27 de junio que sus detalles de inicio de sesión en línea fueron expuestos. Sin embargo, en este caso, el atacante aparentemente no accedió a datos de clientes.
Aclaración: La información y/u opiniones emitidas en este artículo no representan necesariamente los puntos de vista o la línea editorial de Cointelegraph. La información aquí expuesta no debe ser tomada como consejo financiero o recomendación de inversión. Toda inversión y movimiento comercial implican riesgos y es responsabilidad de cada persona hacer su debida investigación antes de tomar una decisión de inversión.
