Casi un millón de pasaportes y documentos de identidad con foto quedaron sin protección en internet: dónde se rompió la cadena

Las filtraciones de datos suelen narrarse alrededor de la figura del atacante. El caso del que informa The Verge traza otra línea: no hay atacante, solo un depósito en la nube dejado abierto.

Según el medio, alrededor de 950.000 pasaportes, permisos de conducir y documentos de identidad con foto recopilados por las plataformas de verificación de usuarios Nefos y PuffPal se encontraron en un bucket de Amazon S3 accesible en internet sin contraseña.

Las dos empresas conservan documentos de clientes para sectores regulados — una para la verificación de edad en clubes de cannabis, la otra para ventas en línea de tabaco — bajo reglas nacionales distintas pero usando la misma infraestructura externa de almacenamiento.

El investigador de seguridad Jeremiah Fowler descubrió el bucket durante un escaneo y lo notificó a The Verge. Fowler dijo que el bucket estaba configurado con permiso public-read, lo que significa que cualquiera con conexión podía listar y descargar los documentos.

Los archivos más sensibles son escaneos de pasaporte a resolución completa. Esas imágenes valen mucho más, en el mercado del robo de identidad, que una sola tarjeta de pago. En el marco de la verificación de edad para adultos, algunos usuarios habían combinado además selfie y documento; ambos eran legibles juntos en internet abierto.

Contactadas por The Verge, las dos empresas cerraron el bucket tras la publicación. El tiempo durante el cual estuvo abierto y el número de descargas todavía no se conoce. Ambas reconocieron el error en sus comentarios al medio.

Las consecuencias legales pueden ser graves. El RGPD europeo permite multas de hasta el 4 % de la facturación para este tipo de fugas, con independencia de la intención. A nivel estatal en EE. UU., la CCPA de California fija un suelo de 100 dólares de daños y perjuicios estatutarios por usuario.

Los incidentes de este tipo no son aislados. Empresas de seguridad indican que el número de fugas de documentos de identidad debidas a errores de configuración en S3 crece un 18 % anual desde hace tres años. La ambigüedad de los ajustes por defecto del almacenamiento en la nube es el factor causal más frecuente.

El caso pone también en evidencia el problema de cadena de auditoría de los pequeños servicios de verificación de terceros. Cuando un bar o un dispensario en línea pide un documento, la empresa que termina almacenándolo puede cambiar sin que el usuario lo sepa; el marco regulatorio aún no cubre esa arquitectura.

Vesper cubre noticias de tecnología y seguridad con fines informativos. Si cree haber sido afectado por una filtración de datos personales, contacte con la autoridad nacional de protección de datos competente.