Un grave incidente de ciberseguridad podría comprometer las finanzas personales de millones de mexicanos. De acuerdo a especialistas en seguridad, el código fuente de Nova Solutions Systems, firma de outsourcing especializada en tecnología, fue publicado en un repositorio público.
Nova Solutions presta servicios para algunos bancos en México como Citibanamex, Banco Sabadell y Bancoppel, por lo que los clientes de estas instituciones deben permanecer alertas ante cualquier actividad sospechosa en sus cuentas. Al parecer, la información fue extraída de una instancia de SonarQube con errores de configuración.
A través de Twitter, un investigador conocido como Bank Security reunió todas las filtraciones relacionadas con Nova en un solo repositorio con el código fuente de los bancos mencionados, además de información confidencial de otras empresas que trabajan con Nova. Acorde a los expertos en seguridad en la nube, debido a que parte del código fuente expuesto incluía credenciales de inicio de sesión, el repositorio fue eliminado del código fuente para evitar problemas de seguridad.
Al respecto, investigadores mencionan que aún no está claro qué fragmentos del código expuesto deben considerarse como material confidencial, aunque la existencia de credenciales de inicio de sesión es un claro indicio de la severidad de este incidente, aunque el repositorio también contenía proyectos públicos desarrollados por Nova.
La filtración de datos confidenciales no es sólo un problema de seguridad, sino que también representa una desventaja en proyectos de negocios: “Es muy probable que algún competidores sin escrúpulos trate de abusar de la información expuesta para obtener una ventaja en el mercado, aunque debemos considerar que el uso ilegal de código fuente puede ser considerado un delito severo y provocar pérdidas millonarias”.
En caso de encontrar a los responsables del incidente, éstos podrían ser condenados por delitos como infracción a las leyes de derechos de autor, conspiración y delitos informáticos. No obstante, la primera preocupación de las compañías afectadas es eliminar cualquier registro de información expuesta.
Esta no es la primera ocasión en la que ocurre un incidente similar. Hace aproximadamente un año, Scotiabank reveló que debido a un error de su personal de TI, parte de su código fuente interno, así como credenciales de inicio de sesión confidenciales para sus sistemas de back-end, se vieron expuestas en línea. Los equipos de seguridad del banco pasaron al menos un día eliminando repositorios en GitHub que almacenaban información confidencial, que estaban disponibles para cualquier usuario. La información expuesta incluía planos de software, claves de acceso a sistemas de tipos de cambio, códigos de aplicaciones móviles bancarias y credenciales de inicio de sesión de la base de datos.
