Se ha identificado una importante violación de datos que involucra a una empresa estadounidense de tecnología gubernamental después de que el investigador de ciberseguridad Jeremiah Fowler descubriera una base de datos abierta accesible para cualquier persona con un navegador web. El repositorio expuesto, vinculado a CitySourced, contenía aproximadamente 42 millones de documentos y 450.000 archivos JSON que albergaban información de identificación personal (PII) en texto plano. Si bien los registros consistían principalmente en imágenes relacionadas con quejas o informes de violaciones de códigos, el análisis reveló que también incluían nombres de individuos, direcciones postales, direcciones de correo electrónico y números de teléfono.
La base de datos albergaba miles de registros internos que datan de 2016 a 2026, lo que presenta un riesgo sustancial ya que dichos datos suelen ser utilizados por ciberdelincuentes para campañas de phishing dirigidas o vendidos en la dark web. Fowler señaló que el repositorio contenía varios directorios de aplicaciones, incluidos Api, Customers y FileStorage, junto con múltiples archivos .sdk y .exe que parecían fuera de lugar y podrían sugerir un intento de plantar malware. CitySourced, fundada en 2009 y posteriormente adquirida por Granicus tras fusionarse con Rock Solid Technologies, desarrolla software que permite a los residentes informar problemas locales como baches o farolas defectuosas a las autoridades municipales.
Tras la notificación de la vulnerabilidad, CitySourced aseguró la base de datos y reconoció los esfuerzos del investigador. Una declaración de la empresa indicó que Granicus había revisado la información proporcionada, realizado una investigación interna y estaba tomando medidas para abordar el problema. Fowler enfatizó que, si bien no pudo determinar si un contratista de terceros gestionaba la infraestructura, el incidente destaca los riesgos continuos asociados con el almacenamiento en la nube mal configurado.
La violación subraya la prevalencia de fugas de datos causadas por errores de configuración, donde las empresas pueden asumir erróneamente que sus proveedores en la nube son los únicos responsables de la seguridad o permanecer desconocidas sobre datos expuestos. Para mitigar tales riesgos, Fowler recomienda que las organizaciones segmenten los entornos de clientes y los datos internos para garantizar el aislamiento de inquilinos. Además, aconsejó que los sistemas de almacenamiento, las copias de seguridad y los datos sensibles deben estar cifrados y protegidos contra accesos no autorizados mediante controles de acceso robustos. Para los individuos, el investigador sugirió mantener el escepticismo hacia los correos electrónicos no solicitados que contienen enlaces o archivos adjuntos, dada la probabilidad de que los datos personales ya hayan sido comprometidos en violaciones pasadas.
Fuentes: TechRadar.