Falla en cadena de farmacias india expone datos sensibles de miles de clientes

Una falla de seguridad en uno de los sistemas de administración web de la cadena de farmacias DavaIndia, parte de Zota Healthcare, permitió que personas ajenas obtuvieran acceso completo a datos sensibles de clientes. La situación, que expuso miles de pedidos online, fue revelada por el investigador de seguridad Eaton Zveare, quien identificó la vulnerabilidad en las interfaces de programación de aplicaciones (API) del sitio web de DavaIndia.

Zveare informó a las autoridades cibernéticas de la India sobre el problema en agosto de 2025, y la falla fue corregida en pocas semanas. Sin embargo, la confirmación de la empresa llegó más tarde, en noviembre. La vulnerabilidad permitió a los atacantes crear cuentas de "super administrador" sin autenticación, lo que les otorgó acceso a información personal de los clientes, así como a la capacidad de modificar precios y requisitos de recetas para medicamentos.

La exposición afectó a cerca de 17,000 pedidos online, lo que incluyó datos sensibles como nombres, números de teléfono, direcciones de correo electrónico y productos comprados. Este tipo de información puede ser especialmente delicada, ya que podría revelar condiciones de salud de los clientes.

La cadena de farmacias DavaIndia, que cuenta con más de 2,300 tiendas en toda India, había anunciado la apertura de 276 nuevos locales en enero y planea abrir entre 1,200 y 1,500 más en los próximos dos años. La rápida expansión de la empresa hace que la protección de los datos de sus clientes sea aún más crítica.

Zveare destacó que, aunque la vulnerabilidad fue corregida rápidamente, el acceso a los datos de los clientes presenta riesgos significativos para la privacidad y la seguridad de los pacientes. En este sentido, enfatizó la importancia de que las empresas mantengan medidas de seguridad robustas para proteger la información sensible de sus usuarios.

El CEO de Zota Healthcare, Sujit Paul, no respondió a las consultas de TechCrunch sobre el incidente. Zveare mencionó que no había indicios de que la vulnerabilidad hubiera sido explotada antes de ser solucionada.

Temas