La plataforma de identidad blockchain Fractal ID ha publicado una autopsia que describe la violación de datos que sufrió la empresa el 14 de julio. Desde entonces, la violación se remonta a un incidente de 2022 en el que un empleado reutilizó una contraseña comprometida.
Según Fractal ID, la cuenta comprometida perteneció a un operador de la plataforma durante tres años y tenía derechos de administrador. Esto permitió al atacante eludir los sistemas internos de privacidad de datos, aunque el monitoreo del sistema ayudó a bloquear al atacante en 29 minutos.
Causa raíz de la infracción
El incumplimiento por parte del operador de las políticas de seguridad operativa y la capacitación, junto con la reutilización de credenciales de ataques anteriores, facilitó la infracción.
El 14 de julio de 2024, el proveedor de verificación de identidad criptográfica detectó actividad inusual en una de sus oficinas administrativas. Esta actividad se identificó rápidamente como un ataque malicioso, lo que provocó la filtración de datos de aproximadamente el 0,5 % de su base de usuarios.
Sin embargo, Fractal ID señaló en el informe post mortem que deshabilitó todas las cuentas en el sistema comprometido en respuesta y limitó el acceso a los empleados superiores. La empresa también dio prioridad a mejorar sus medidas de seguridad para evitar incidentes futuros, como implementar una limitación de solicitudes, una autorización más detallada, un seguimiento más estricto de los intentos fallidos de autenticación y un control de IP más estricto.
Relacionado: Los nuevos 'ataques de superposición' son una amenaza creciente para los usuarios de criptomonedas: CEO de seguridad
Además de los esfuerzos internos, Fractal ID se puso en contacto con las autoridades de protección de datos pertinentes y con la policía criminal cibernética de Berlín. La compañía también se ha comprometido con servicios de ciberseguridad para monitorear cualquier posible distribución de datos robados en sitios conocidos de violación de datos.
Impacto de la violación de datos
Según el informe, los datos robados, que afectaron a unos 6.300 usuarios, incluyen varios niveles de información, desde verificaciones de prueba de personalidad hasta verificaciones KYC completas. Estos datos pueden incluir nombres, direcciones de correo electrónico, números de teléfono, direcciones de billetera, direcciones físicas e imágenes de documentos cargados. Fractal ID también se puso en contacto directamente con los usuarios afectados para informarles de la infracción.
Los cofundadores de Fractal ID, Julián, Julio, Lluis y Anna, lamentaron el incidente y enfatizaron su compromiso con la protección de los datos de los usuarios. Reiteraron el objetivo de la empresa de avanzar hacia un sistema de almacenamiento de autocustodia para mejorar la seguridad de los datos.
Esta falla de seguridad sirve como un claro recordatorio de las dificultades que existen para salvaguardar los datos. Autix10, un proveedor de identificación criptográfica, reveló el 27 de junio que sus datos de inicio de sesión administrativos en línea quedaron expuestos. Sin embargo, en este caso, el atacante aparentemente no obtuvo acceso a ningún dato del cliente.
Revista: Crypto-Sec: Evolve Bank sufre una violación de datos, el entusiasta de Turbo Toad pierde $3.6K
