48 millones de perfiles de usuarios accessible en un AWS S3 bucket
LocalBlox una compañía que destruye datos de perfiles web públicos ha dejado los detalles de más de 48 millones de usuarios en un S3 de Amazon Web Services según un investigador de seguridad UpGuard que descubrió los datos el 28 de febrero del 2018.
La compañía aseguró el servidor el mismo día, luego de que el investigador se contactara con la empresa.
"El contenedor contenía un archivo comprimido de 151.3 GB, que, cuando se descomprimía, revelaba un archivo ndjson de 1.2 TB (jine de línea nueva)", dijo ayer UpGuard en un informe que resume sus hallazgos.
Según el nombre del archivo expuesto -final_people_data_2017_5_26_48m.json-, esto parece ser una copia de seguridad de la base de datos LocalBlox realizada el 26 de mayo de 2017.
LocalBlox afirma en su sitio web que es capaz de ofrecer una "verdadera visión de personas de 360 grados" al "casar [ing] datos individuales de vida laboral y personal para generar inteligencia combinada".
UpGuard, que pasó las últimas semanas analizando los datos, dice que el archivo LocalBlox que encontró contenía datos recogidos de perfiles públicos en sitios como Facebook, LinkedIn, Twitter y el sitio inmobiliario Zillow.
El archivo con formato JSON contenía nombres, direcciones físicas, fechas de nacimiento, historial de trabajo (LinkedIn), identificadores de Twitter y, en algunos casos, direcciones IP y de correo electrónico.
Facebook datos de perfil también se incluyó, y basándose en el formato de los datos, UpGuard sugiere estos datos podría haber sido recogido utilizando la función de búsqueda de la red social que permite a los usuarios encontrar los perfiles en base a una dirección de correo electrónico, una característica que Facebook ha descontinuado recientemente en la luz del escándalo de Cambridge Analytica.
LocalBlox parece haber utilizado esta función para identificar perfiles de usuario y luego recopiló los detalles disponibles en el perfil público de los usuarios. Los detalles recopilados variaron y podrían incluir nombres, imágenes, habilidades, trabajo actual, empresas (empleador), detalles de la familia y otros.
Datos recolectados por scraping de perfiles públicos
Este incidente es técnicamente una pérdida de datos, pero no lo es. LocalBlox sufrió una violación al dejar el archivo en un servidor AWS mal configurado, pero los datos expuestos ya eran información conocida.
Parece que todos los datos han sido recogidos al eliminar el código HTML de los sitios respectivos, en lugar de utilizar API, que están bloqueados bajo estrictos términos legales que evitan el raspado masivo.
Facebook, Twitter y LinkedIn también contienen lenguaje en los términos de servicio de sus sitios públicos que previenen el robo de páginas públicas.
Pero en los últimos años, los tribunales de Estados Unidos se han alineado con las empresas de robo de datos en demandas presentadas por las redes sociales, lo que sugiere que los datos publicados en perfiles públicos no están sujetos a derechos de autor o leyes de protección de la privacidad.
Tras la intensa cobertura mediática del escándalo de Cambridge Analytica y las consecuencias posteriores de que las empresas de terceros recabaran datos sobre usuarios de redes sociales sin autorización, LocalBlox no pareció tomarse a la ligera la publicación del informe UpGuard.