O State Bank of India deixou uma base de dados online com informações pessoais expostas on-line.
A descoberta foi feita por um investigador anónimo que identificou um servidor usado para o Quick Service do banco, um serviço concebido para dispositivos móveis.
Quick is “a free service from the Bank where in you can get your Account Balance, Mini Statement and more just by giving a Missed Call or sending an SMS with pre-defined keywords to pre-defined mobile numbers from your registered mobile number.”
A base de dados foi exposta on-line sem qualquer proteção e continha informações em plain-text sem qualquer tipo de ofuscação ou cifra de forma a tornar o acesso aos dados mais dificil.
A base de dados contém milhões de mensagens de texto até dezembro de 2018 e que foram trocadas entre o banco e os seus clientes.
O dados expostos incluem, os números de telefone dos clientes, o número parcial da conta dos clientes, o saldo bancário e registos das transações efetuadas.
A boa notícia é que o banco rapidamente corrigiu o problema horas depois de ser informado do problema. No entanto, não é conhecido o tempo que os dados permaneceram expostos online ou se os agentes de ameaças acederam a enorme quantidade de informações dos clientes.
Pedro Tavares is a professional in the field of information security working as an Ethical Hacker/Pentester, Malware Researcher and also a Security Evangelist. He is also a founding member at CSIRT.UBI and Editor-in-Chief of the security computer blog seguranca-informatica.pt.
In recent years he has invested in the field of information security, exploring and analyzing a wide range of topics, such as pentesting (Kali Linux), malware, exploitation, hacking, IoT and security in Active Directory networks. He is also Freelance Writer (Infosec. Resources Institute and Cyber Defense Magazine) and developer of the 0xSI_f33d – a feed that compiles phishing and malware campaigns targeting Portuguese citizens.
Read more here.