GMO Trust Login: filtración afecta a 45.030 personas

GMO GlobalSign anunció el 30 de octubre que un fallo de configuración en su servicio de inicio de sesión único GMO Trust Login dejó expuestos nombres, correos electrónicos y otros datos de 2.492 empresas clientes y 45.030 personas.

La causa fue una decisión de diseño: archivos temporales con información de clientes se guardaban en la misma área pública que las imágenes de logotipos. Hacia el 14 de noviembre de 2017, la compañía había trasladado el almacenamiento a ese espacio para aliviar la carga de distribución de los logos. Bastaba consultar la lista de archivos para descargar cada uno, y los enlaces no tenían firma ni fecha de caducidad. Según la empresa, los archivos pudieron obtenerse desde fuera desde aproximadamente noviembre de 2017 hasta su bloqueo el 15 de septiembre de 2026.

Qué datos quedaron expuestos

Hay dos tipos de archivos afectados. Los primeros los generaba el sistema cuando los administradores de los clientes ejecutaban operaciones masivas, como asignar contraseñas en nombre de otros usuarios, registrar atributos personalizados o añadir miembros en bloque. Esas plantillas y archivos de error contenían correos, nombres, nombres de las aplicaciones vinculadas y atributos como número de empleado y departamento. Abarcan 2.184 empresas y 44.836 personas.

Los segundos son archivos de contrato de GMO GlobalSign: ID de empresa, número de licencias, uso, fecha de baja y nombre, dirección, teléfono y correo del contacto de facturación. Se obtuvieron datos de contactos de facturación de 217 empresas y 194 personas, además de 91 empresas que no pudieron identificarse. No se incluyeron contraseñas de acceso, preguntas secretas, datos de autenticación multifactor, contraseñas de los servicios vinculados ni información de pago.

Detección y medidas

Un investigador de seguridad externo avisó del problema el 14 de septiembre mediante el programa de notificación de vulnerabilidades. El acceso externo se cortó desde esa noche hasta la tarde del día siguiente. Los registros confirman descargas de terceros desde el 8 de junio de 2021; antes no hay registros, pero ese periodo se incluyó. La investigación de GMO Cybersecurity by Ierae, del mismo grupo GMO aunque la compañía la presenta como entidad externa, concluyó que los datos pudieron obtenerse con fines maliciosos.

Las cifras superan las provisionales del primer aviso del 16 de septiembre, tras detectarse archivos omitidos y un error en los criterios de evaluación. Las pruebas de intrusión periódicas cubrían aplicaciones y servidores, pero no el almacenamiento, por lo que el problema pasó inadvertido.

Ahora los enlaces de descarga van firmados y caducan en una hora, y se ha desactivado el listado de archivos en todas las ubicaciones. Los logotipos se servirán mediante un sistema dedicado con tipos de archivo limitados, se exigirá revisar el tratamiento de datos al diseñar funciones con archivos, los archivos de clientes se borrarán automáticamente según su plazo de conservación y las auditorías externas cubrirán toda la nube dos veces al año.