Empresa de marketing expone al público 809 millones de registros

Dos investigadores de seguridad han descubierto una base de datos MongoDB no protegida y de acceso público que contenía 150 Gbytes de datos en texto simple con 809 millones de registros, incluidas 763 millones de direcciones de correo electrónico únicas.

La base de datos corresponde a la firma de "validación de correo electrónico" Verifications.io. Si bien es probable que nunca hayas oído hablar de ellos, los validadores desempeñan un papel crucial en la industria del marketing por correo electrónico. No envían correos electrónicos por cuenta propia ni facilitan campañas masivas de correo electrónico. En su lugar, examinan la lista de correo de un cliente para asegurarse de que las direcciones de correo electrónico que contiene son válidas.

Las violaciones de seguridad y la exposición de datos on-line es el cuento de nunca acabar. La que nos ocupa es una de las peores de la historia, no solo por el número de registros sino también por su contenido inusual ya que además de datos sobre consumidores individuales, así como lo que parecen ser "datos de inteligencia de negocios" como cifras de empleados e ingresos de varias compañías.

Por supuesto, no falta una carpeta de registros de correo electrónico que incluye los datos personales habituales como nombre y apellido, la fecha de nacimiento, el correo electrónico, el número de teléfono, el código postal, la dirección, el sexo y la dirección IP para cada entrada por separado. También otras como el monto de la hipoteca personal, la tasa de interés, las cuentas de Facebook, LinkedIn e Instagram asociadas con las direcciones de correo electrónico y las puntuaciones de crédito.

Los investigadores realizaron una comprobación cruzada de una selección de registros aleatorios de la base de datos con la base de datos Have I Been Pwned mantenida por Troy Hunt y llegaron a la conclusión de que no formaban parte de ninguna violación anterior, lo que llevó a la conclusión de que se trataba de un conjunto nuevo y único de datos.

Las empresas de marketing por correo electrónico convencionales a menudo subcontratan este trabajo en lugar de correr el riesgo de que posicionen su infraestructura en listas negras con filtros de correo no deseado o reducir sus puntuaciones de reputación en línea. El trabajo sucio lo hacen otros. La verificación completa de que una dirección de correo electrónico funciona implica enviar un mensaje a la dirección y confirmar que se entregó, esencialmente enviando correos electrónicos no deseados. Ello significa evadir las protecciones de los proveedores de servicios de Internet y plataformas como Gmail.

Pedido de Regulación

El CEO de Apple, Tim Cook, ha pedido recientemente una regulación para abordar la "economía en la sombra" de las empresas de datos, nuevas normas que promuevan un cambio radical en la industria de la tecnología y cómo las empresas manejan los datos en línea.

Cook pide proteger cuatro derechos esenciales que considera deberían convertirse en legislación:

• el derecho a que se minimicen los datos personales;
• el derecho de los usuarios a saber qué datos se recopilan en ellos;
• el derecho de acceder a esos datos; y
• el derecho a que esos datos se mantengan de forma segura.

El CEO de Apple, Tim Cook, ha pedido al Congreso de Estados Unidos y a la Comisión de Comercio la aprobación de una regulación federal que promueva un cambio radical en la industria de la tecnología y cómo las empresas manejan los datos en línea.

Tim Cook es desde hace tiempo un defensor declarado de la privacidad de los datos y no es la primera vez que pide una normativa contra el modelo de negocio basado en un "complejo industrial de datos" como calificó -sin nombrarlas- a compañías como Facebook y Google en un discurso en la conferencia #ICDPPC2018 de Bruselas, donde defendió la GDPR europea y exigió leyes similares en su país.

En un artículo de opinión publicado en Time, Cook volvió a pedir una regulación para abordar el tráfico de datos de y la información personal de consumidores confiados.

Fuente: Security Discovery