Sega dejó una enorme base de datos con información sensible de usuarios accesible

Como consecuencia de una incorrecta configuración de uno de los almacenes de datos seguros que SEGA tiene en la plataforma cloud S3 de Amazon la información confidencial quedaba expuesta y accesible y podría haberse utilizado para lanzar ataques contra clientes y empleados.

Gracias a los videojuegos, podemos disfrutar de unas cuantas horas de diversión solos o en compañía de otros jugadores. Al ser uno de los sectores que más ha crecido en volumen de usuarios, ha generado que los beneficios aumenten y como lo que atrae y mueve dinero en el mundo on-line, a la vez se convierte en objetivo de la ciberdelincuencia.

Sega Europa podría haber sido fácilmente víctima de una filtración de datos, investigadores de seguridad descubrieron recientemente que la empresa había dejado archivos confidenciales almacenados de forma insegura en una base de datos de acceso público con información de más de 250.000 usuarios y trabajadores de la empresa.

Los investigadores de la empresa de seguridad VPN Overview encontraron los archivos en cuestión almacenados en un depósito S3 de Amazon Web Services (AWS) mal configurado. También pudieron obtener varios conjuntos de claves de AWS que les dieron acceso de lectura y escritura al almacenamiento en la nube de Sega Europa.

Los investigadores de VPN Overview pudieron cargar archivos, ejecutar scripts, alterar páginas web existentes y modificar la configuración de dominios de Sega críticamente vulnerables según un nuevo informe.

Correo electrónico y servicios cloud comprometidos

Durante su investigación, el equipo de seguridad de VPN Overview recuperó una API para el software de marketing por correo electrónico MailChimp. Gracias a ella se podría enviar e-mails fraudulentos desde la dirección donotreply@footballmanager.com.

El equipo de investigadores envió varios mensajes para probar su acceso y todos los correos electrónicos que envió parecían por parte de SEGAy también usaban encriptación TLS. A partir de aquí, los investigadores pudieron modificar las plantillas de MailChimp existentes e incluso crear las suyas propias. Dado que todos los correos electrónicos enviados a los usuarios de Football Manager parecían legítimos y podrían eludir las comprobaciones de seguridad del correo electrónico. Como resultado, un atacante podría haber abusado de los CDN de la empresa para distribuir malware y ransomware a usuarios desprevenidos.

Después de descubrir el almacenamiento S3 mal configurado de Sega Europa, VPN Overview reveló responsablemente sus hallazgos a la empresa, que luego aseguró la base de datos y todos sus servicios y software en la nube afectados. Por suerte esta vez los buenos llegaron antes que los malos y evitaron que sucediera lo peor.

Más información:

https://www.techradar.com/news/sega-left-a-huge-database-of-user-information-open-to-hackers

La entrada Sega dejó una enorme base de datos con información sensible de usuarios accesible se publicó primero en Una al Día.