Infracción de Timehop: recordatorio de la importancia de la seguridad de las contraseñas
Es posible que haya oído hablar de la popular aplicación social Timehop, que rastrea los datos históricos de los usuarios en las redes sociales para mostrar publicaciones del mismo día hace años en un estilo de "antes y después". La naturaleza de la aplicación significa que los usuarios deben darle permiso para acceder a sus datos de redes sociales, lo que significa que Timehop tiene acceso a MUCHA información de identificación personal (PII).
Bueno, resulta que tus datos no estaban tan seguros en manos de Timehop como te gustaría haber creído. La empresa confirmó que sufrió una violación de datos que afectó a 21 millones (aproximadamente una quinta parte) de sus usuarios. Al igual que con otras violaciones de datos de alto perfil este año, la información personal de los usuarios se obtuvo ilegalmente, incluidos nombres, direcciones y números de teléfono.
De acuerdo con el RGPD, Timehop reveló la infracción a las autoridades pertinentes mientras estaba en progreso y la cerró unas 2 horas después de descubrirla inicialmente. Timehop confirmó que la infracción surgió como resultado de una cuenta de administrador que se vio comprometida inicialmente en diciembre de 2017. Se accedió al entorno de nube de Timehop y presumiblemente los atacantes lo exploraron antes de lanzar finalmente el ataque el 4 de julio. Afortunadamente, debido a la naturaleza de Timehop, ninguna información de tarjetas de crédito, datos financieros o PII de ese tipo se vio comprometida, ya que no se almacena.
Entonces, ¿cómo se vio comprometida la cuenta de administrador?
El atacante pudo obtener acceso a través de una cuenta de administrador que no estaba protegida por autenticación multifactor. En la divulgación pública de la infracción, Timehop declaró: “Ahora hemos tomado medidas que incluyen la autenticación multifactor para asegurar nuestra autorización y controles de acceso en todas las cuentas. "
Pero ¿por qué no se había implementado esto ya? La cita implica que había numerosas cuentas dentro del entorno de nube de Timehop que no estaban protegidas por la autenticación multifactor, lo cual es un error de juicio grave desde una perspectiva de seguridad de TI.
Las organizaciones que almacenan y procesan información potencialmente confidencial deben asegurarse de hacer todo lo posible para proteger las cuentas administrativas, incluso mediante la autenticación multifactor. Naturalmente, muchas personas utilizan la misma contraseña para varias cuentas, lo que puede ser una pesadilla si una cuenta se ve comprometida, como en el caso de Timehop. Los administradores no deben caer en esta trampa. Asegúrese de que su cuenta esté protegida utilizando una contraseña compleja y cambiándola al menos una vez cada 90 días.
¿Cómo afectó el RGPD a esta infracción?
El propio Timehop declaró que no estaba seguro de si estaba legalmente obligado a informar de esta infracción. Se trataba de datos personales de ciudadanos de la UE, pero las organizaciones sólo están obligadas a informar de una infracción que “pueda resultar en un riesgo para los derechos y libertades de las personas”. "
Hay que reconocer que Timehop decidió tomar la iniciativa e informar a los afectados de todos modos. También están trabajando estrechamente con varios especialistas en GDPR para asegurarse de no infringir ninguna parte de las regulaciones.
Si le preocupa la rapidez con la que podrá detectar una infracción en acción, es probable que necesite implementar una solución de auditoría de cambios, como Lepide Data Security Platform. Estas soluciones le permiten monitorear, detectar y responder a cambios no deseados o no autorizados en sus sistemas críticos locales o basados en la nube.