Los datos privados de los usuarios de Telefónica han estado expuestos por tiempo indeterminado

Hace poco más de un año, Telefónica vio cómo un virus llamado WannaCry recorría sus ordenadores, asistiendo así al secuestro de sus equipos informáticos y la petición de un rescate en forma de contraprestación económica. Ahora el fallo no ha sido provocado por ningún agente externo sino que se ha tratado de un agujero de seguridad que ha podido ser más grave de lo que Telefónica afirma que ha sido.

Durante un periodo de tiempo indeterminado, pero que parece haber llegado a su fin, era posible acceder a los datos de cualquiera de los usuarios de la operadora siempre que se tuviese ya una cuenta en su portal. Una exposición muy similar a la que afectó a la plataforma jurídica LexNET y que ahora ha afectado a la operadora española.

Datos expuestos, pero no de forma masiva

El fallo ha sido detectado por FACUA, la asociación de consumidores en acción, y se dio aviso a Telefónica para que pudiese solventar el problema. Algo que, según la compañía, ya ha sido solucionado. Según parece, accediendo a cualquier documento interno del portal de clientes se podía saltar con facilidad al de cualquier otro usuario, permitiendo así que datos privados de los mismos saliesen a la luz sin consentimiento de los mismos.

El mecanismo para acceder a estos datos no podía ser más sencillo. Por culpa de esta brecha de seguridad, alterando los números del documento consultado a través de la URL de la página del portal de clientes de Telefónica se podía acceder al de otros usuarios. Algo que habría expuesto pocos datos a mano, pero que podría haber sido catastrófico de haberse realizado a través de un script.

Según parece, Telefónica ya ha solucionado este problema durante la madrugada, y el error ya no se puede reproducir por lo que los datos vuelven a estar protegidos tras los sistemas de seguridad de la compañía. Un portavoz de Telefónica ha explicado a Xataka, además, que no han detectado ningún acceso masivo a estos datos por lo que descartan una posible explotación de la vulnerabilidad.

A pesar de que los datos a los que se podía acceder a través de este agujero de seguridad eran documentos, lo recomendable en estos casos es dirigirse al área de clientes de Telefónica, a través de su web, y cambiar los datos de acceso de la plataforma por si hubiesen quedado también expuestos. Al menos como medida de precaución de cara al futuro ya que, como decíamos antes, Telefónica descarta que se hayan filtrado datos de forma masiva.

En declaraciones oficiales de la compañía, Telefónica asegura que han realizado un análisis exhaustivo tanto del problema, localizado y corregido, como del nivel de acceso a información restringida que se ha permitido con el mismo. Telefónica afirma, asimismo, que "el número de clientes cuyos datos han sido accedidos por terceros es inferior a un centenar".

"La compañía contactará individualmente con cada uno de ellos para informarles de lo sucedido. Hay que recordar que, tras la alerta recibida a última hora del domingo, la actuación diligente de Telefónica permitió que en esa misma madrugada la vulnerabilidad fuera identificada y subsanada."

En Xataka | Una brecha de seguridad en la web de Movistar expuso los datos de millones de clientes
En Xataka Móvil | WPA3, el nuevo cifrado de seguridad de 192 bits para olvidar un WPA2 roto en 2017