Falla de seguridad en AT&T expone datos personales de sobre 100,000 dueños de iPad 3G

Por: M. Marcano


Las direcciones de correo electrónico y nombres de más de 100,000
dueños de los dispositivos estilo “tablet” iPad 3G, que incluyen
prominentes personalidades de la política, la milicia, la prensa y la
banca fueron expuestas libremente en internet mediante el
aprovechamiento de una brecha de seguridad encontrada por un grupo de
“hackers” en el sitio web de la proveedora de comunicación móvil
AT&T, según reportado por Gawker y luego confirmado por AT&T.
El grupo responsable de obtener estos datos, de nombre Goatse
Security, entregó a Gawker una copia de la lista de direcciones de
e-mail de personas que adquirieron un iPad 3G y se suscribieron al
servicio de conectividad inalámbrica a la internet por medio de la red
celular de AT&T.
Esta incluye los correos de ejecutivos de empresas como HBO, Dow
Jones, Viacom y The New York Times, agencias de gobierno como el
Departamento de Justicia, el Departamento de Seguridad Nacional
(”Homeland Security”) y NASA, así como personal del Senado y Cámara de
Representantes de los Estados Unidos y hasta el jefe de gabinete de la
Casa Blanca, entre muchos otros.
La brecha de seguridad fue descubierta luego de que Goatse Security
encontrara en el sitio de internet de AT&T un programa o función del
sitio que al presentarle el número de identificación de un iPad
conocido como “ICC-ID” (”Integrated Circuit Card Identifier”) mostrara
la dirección de correo electrónico asociada a este. “ICC-ID” es el
número de identificación con el que la red de AT&T puede asociar un
iPad 3G con una cuenta de servicio de acceso a internet en su red.
Luego de este descubrimiento, el grupo de hackers escribió
un “script” (listado de instrucciones para ejecutar) que adivinara los
números de identificación de iPads (estos siguen un patrón que comienza
con los números 8910410243).
Ilustración:
Gawker Media

Una vez el “script” pudo adivinar estos números, este se encargó de
proveérselos al programa del sitio de internet de AT&T, el cual a su
vez proveyó las direcciones de correo electrónico asociadas a estos
números de ID de iPad. Una vez la información empezó a fluir, esta fue
organizada en un reporte, copia del cual le fue entregado a Gawker.
AL TANTO AT&T
Por su parte, AT&T respondió que conocía del problema aunque
alegan nunca fueron contactados por Goatse Security. Estos últimos
afirman que le informaron a AT&T sobre el problema.
AT&T emitió un comunicado que reproducimos a continuación:
“Un cliente de negocios informó el lunes a AT&T de la
potencial exposición de los identificadores ICC de los equipos iPad. La
única información que puede ser derivada de los identificadores ICC es
la dirección de correo electrónico asociada a dicho equipo.
Este asunto fue llevado a los más altos niveles de la compañía y
fue corregido el martes; y esencialmente hemos apagado la característica
que proveía las direcciones de correo electrónico.
La persona o grupo que descubrió esta brecha no contactó a
AT&T.
Continuamos investigando e informaremos a todos los clientes cuya
dirección de correo electrónico y números de identificación ICC
pudieran haber sido obtenidos.
Tomamos la privacidad de nuestros clientes muy en serio y aunque
hemos arreglado este problema, pedimos disculpas a nuestros clientes que
fueron impactados”.
Apple, por su parte, no ha emitido declaraciones públicas al
respecto.