Una gran cantidad de datos gubernamentales pertenecientes al Departamento de Valores de Oklahoma (ODS) se dejó sin asegurar en un servidor de almacenamiento durante al menos una semana, exponiendo la friolera de 3 terabytes de datos que contienen millones de archivos confidenciales.

El servidor de almacenamiento no seguro, descubierto por Greg Pollock, investigador de la firma de seguridad cibernética UpGuard, también contenía décadas de archivos confidenciales de casos de la Comisión de Valores de Oklahoma y muchas investigaciones confidenciales del FBI, todas abiertas y accesibles para todos sin ninguna contraseña.

Otros archivos graves expuestos incluían correos electrónicos, números de seguridad social, nombres y direcciones de 10,000 corredores, credenciales para el acceso remoto a estaciones de trabajo ODS y comunicaciones destinadas a la Comisión de Valores de Oklahoma, junto con una lista de información identificable relacionada con pacientes con SIDA.

Si bien el investigador no sabe exactamente cuánto tiempo estuvo abierto el servidor al público, el motor de búsqueda de Shodan reveló que el servidor había estado abierto al público desde al menos el 30 de noviembre de 2018, casi una semana después (el 7 de diciembre) Pollock lo descubrió. .

El equipo de investigación de UpGuard notificó al departamento de ODS al día siguiente, y la agencia estatal eliminó el “acceso público” a la vía no segura inmediatamente después de que fueron notificados, aunque aún no está claro si alguien más accedió al servidor no seguro.

Según la firma de seguridad, dicha exposición podría tener un “impacto severo” en la integridad de la red del departamento.

“Según las mejores mediciones disponibles de los contenidos y metadatos de los archivos, los datos se generaron durante décadas, los datos más antiguos se originaron en 1986 y los más recientes se modificaron en 2016”, se lee en una publicación del blog en el sitio web de UpGuard.

“Los datos se expusieron a través de un servicio rsync no seguro en una dirección IP registrada en la Oficina de Administración y Servicios Empresariales de Oklahoma, permitiendo a cualquier usuario de cualquier dirección IP descargar todos los archivos almacenados en el servidor”.

La firma también encontró contraseñas que podrían haber permitido a los piratas informáticos acceder de forma remota a las estaciones de trabajo de la agencia estatal, y una hoja de cálculo con información de inicio de sesión y contraseñas para varios servicios de Internet, incluido el popular software antivirus.

En respuesta al incidente, la Comisión de Valores de Oklahoma dijo en un comunicado de prensa publicado el miércoles que una “vulnerabilidad accidental” de duración limitada fue descubierta y asegurada de inmediato en el servidor y que el departamento está tomando en serio el problema y ordenó una investigación forense.

“El Departamento de Valores de Oklahoma (ODS, por sus siglas en inglés) ha iniciado una revisión exhaustiva de las circunstancias que rodean un incidente que involucra la exposición accidental de información durante la instalación de un cortafuegos”, agregó la Comisión.

“El ODS notificó a las autoridades policiales y al OMES sobre el incidente. Un equipo forense está realizando un análisis para determinar el tipo y la cantidad de archivos de datos que pudieron haber sido expuestos y quién pudo haber accedido a ellos”.

La Comisión también dijo que el departamento también está explorando medidas correctivas y notificaciones para cualquier persona cuya información pueda haber estado expuesta, y está revisando los procedimientos internos, los controles y las medidas de seguridad para garantizar que tales incidentes no puedan ocurrir en el futuro.