Falla en sitio de fabricante de fotomatones expone fotos de clientes

Una reciente vulnerabilidad en el sitio web de Hama Film, fabricante de fotomatones, ha expuesto las imágenes y videos de sus clientes en línea. El investigador de seguridad, conocido como Zeacer, informó a TechCrunch sobre este problema a finales de noviembre, tras haberlo reportado a la empresa en octubre sin recibir respuesta.

Zeacer compartió con TechCrunch una muestra de las imágenes obtenidas de los servidores de Hama Film, donde se podían ver grupos de jóvenes posando en los fotomatones. Estos dispositivos no solo imprimen fotos, sino que también suben las imágenes a los servidores de la empresa.

La compañía Vibecast, que posee Hama Film, no ha respondido a los mensajes que alertaban sobre la vulnerabilidad. Tampoco ha contestado a las solicitudes de comentarios de TechCrunch, ni el cofundador de Vibecast, Joel Park, ha respondido a un mensaje enviado a través de LinkedIn.

Hasta el viernes, el investigador indicó que la empresa aún no había resuelto completamente la falla de seguridad, lo que sigue exponiendo los datos de los clientes. Por esta razón, TechCrunch ha decidido no publicar detalles específicos sobre la vulnerabilidad.

Cuando Zeacer descubrió esta falla, notó que las fotos se eliminaban de los servidores de Hama Film cada dos o tres semanas. Sin embargo, actualmente, las imágenes parecen eliminarse después de 24 horas, lo que limita la cantidad de fotos expuestas en un momento dado. Aun así, un hacker podría explotar la vulnerabilidad descubierta cada día y descargar el contenido de cada foto y video en el servidor.

Antes de esta semana, Zeacer mencionó que llegó a ver más de 1,000 fotos en línea de los fotomatones de Hama Film en Melbourne. Este incidente representa un ejemplo más de una empresa que, al menos por un tiempo, no implementó ciertas prácticas de seguridad básicas y ampliamente aceptadas, como el rate-limiting.

El mes pasado, TechCrunch reportó que el gigante contratista gubernamental Tyler Technologies no estaba aplicando rate-limiting en sus sitios web utilizados para permitir que los tribunales gestionaran la información personal de sus jurados. Esto significaba que cualquier persona podía acceder a cualquier perfil de jurado ejecutando un script informático capaz de adivinar en masa su fecha de nacimiento y su identificador numérico fácil de adivinar.

Temas