Filtración del gigante inmobiliario First American expone 885 millones de documentos personales

Se ha descubierto que un descuido en la página web oficial de First American Financial Corp., una de las aseguradoras de bienes raíces más grandes del mundo, ha expuesto casi 900 millones de documentos y contratos inmobiliarios que datan desde 2003 e incluyen información personal detallada de millones de clientes.

La filtración fue expuesta por el investigador de seguridad Brian Krebs, que descubrió que cualquier persona que tuviera el enlace a uno de los documentos podía acceder a ellos sin que se le pidiera ningún tipo de validación para confirmar su identidad. No se requerían contraseñas, nombres de usuario ni autentificación de dos factores.

Por si esto fuera poco, quien tuviera uno de los enlaces simplemente podía cambiar los dígitos finales para acceder a los documentos de cualquier otra persona. Y como los documentos eran almacenados siguiendo una secuencia numérica, se requería muy poco esfuerzo y algo de sentido común para conseguir todo el paquete de documentos de una misma transacción.

“Las aseguradoras de bienes raíces piden todo tipo de documentos tanto a los compradores como a los vendedores, incluyendo números de seguro social, copias de documentos de identidad, números de cuentas bancarias y extractos de cuenta, registros de hipotecas e impuestos, recibos de transacciones de dinero y hasta documentos corporativos internos si tienes una pequeña empresa. Uno les da todo tipo de información privada y espera que esa privacidad sea respetada”, indicó el constructor de bienes raíces Ben Shoval, quien se percató del problema de seguridad y se puso en contacto con el experto en seguridad informática Brian Krebs para que indague sobre la situación.

Krebs confirmó que esta situación estaba latente y se puso en contacto con First American Financial, que parchó la vulnerabilidad. El investigador no sabe cuánto tiempo ha estado activa esta vulnerabilidad, pero ha encontrado más de 885 millones de documentos que fueron elaborados hasta 16 años atrás.

Por ahora no hay ningún indicio de que alguien haya explotado esta vulnerabilidad con fines maliciosos, pero Brian Krebs cree que “la información personal expuesta por First American sería una mina de oro para los phishers y estafadores que envían correos haciéndose pasar por agentes de bienes raíces y servicios inmobiliarios que tratan de engañar a sus víctimas para que les transfieran dinero”.

“Se ha informado a First American sobre un defecto en el diseño de una aplicación que permitió que se acceda sin autorización a los datos de sus clientes. En First American creemos que la seguridad, privacidad y confidencialidad son nuestra prioridad y estamos comprometidos con la protección de la información de nuestros clientes. La compañía reaccionó de inmediato ante la situación y bloqueó el acceso externo a la aplicación. Estamos evaluando el efecto, si es que hubo alguno, que este incidente tuvo en la seguridad de la información de nuestros clientes. No tenemos más comentarios hasta que terminemos nuestras revisiones internas”.

Fuentes
First American security flaw leaked 885 million real estate documents • Engadget
First American Financial Leaked 800-plus Million Sensitive Mortgage Documents • Forbes
First American Financial Corp. Leaked Hundreds of Millions of Title Insurance Records • Krebs on Security