Network Rail filtró datos de usuario de Wi-Fi gratis

Los investigadores advirtieron que miles de viajeros en tren en todo el Reino Unido han visto sus hábitos de navegación en línea revelados en línea.

Los usuarios que se registraron para usar Wi-Fi gratis en varias estaciones se vieron afectados, y Network Rail y el proveedor de servicios C3UK confirmaron la violación de una base de datos que contiene aproximadamente 146 millones de registros.

Aproximadamente 10,000 usuarios se habrían visto afectados por la violación, lo que podría haber permitido el seguimiento de los hábitos de viaje de una persona, así como el acceso a información personal, incluida la información de contacto personal e incluso la fecha de nacimiento.

Violación de Wi-Fi gratis

La base de datos, que no estaba protegida por contraseña, fue descubierta en línea por el investigador Jeremiah Fowler de la consultora Security Discovery. Encontrada en una plataforma de almacenamiento insegura de Amazon Web Services, la base de datos parece haber sido creada entre el 28 de noviembre de 2019 y el 12 de febrero de 2020.

Las estaciones afectadas incluyeron los principales centros de viaje, como el Puente de Londres, así como puntos de acceso suburbanos como Chelmsford, Burnham y Norwich.

Fowler dijo que su investigación sugiere que los piratas informáticos pueden buscar en la base de datos a través de un nombre de usuario, lo que les permite rastrear viajes individuales cada vez que se establece la conexión Wi-Fi.

Según la BBC, Fowler alertó a C3UK de la violación tan pronto como se descubrió, pero la compañía tardó casi una semana en responder. C3UK dijo que la base de datos expuesta, que dijo que era una copia de seguridad, se aseguró tan pronto como se les llamó la atención.

"Hasta donde sabemos, esta base de datos solo ha sido accesible para nosotros y la compañía de seguridad y no se ha hecho pública ninguna información", agregó.

"Dado que la base de datos no contenía contraseñas u otros datos críticos, como información financiera, esto se ha identificado como una posible vulnerabilidad de bajo riesgo".

C3UK agregó que no informaría a la Oficina del Comisionado de Información (ICO) de la violación, ya que los datos no fueron robados ni accedidos por otra parte.

Vía: BBC News