Razer es un fabricante reconocido por sus productos para gamers, pero esta semana el nombre de la compañía aparece en el centro de la escena, no por un nuevo dispositivo para jugar videogames, sino por haber dejado al descubierto información de más de 100.000 clientes. Cabe señalar que el hecho no involucra un ataque informático orquestado por cibercriminales, sino que responde a un desliz de la compañía que tiene sedes en Singapur y Estados Unidos.
// Una filtración expuso datos de 235 millones de usuarios de Instagram, TikTok y YouTube
Volodymyr Diachenko, un investigador de seguridad informática, descubrió que la información de los jugadores (compradores de productos de Razer) estuvo expuesta durante un mes. Esto se debió a una configuración incorrecta del servidor. En concreto, la base de datos era accesible sin la necesidad de ingresar un password, tal como explicó el experto en esta entrada publicada en LinkedIn.
Los registros que estuvieron accesibles en Internet muestran pedidos realizados a la tienda digital de la empresa, tal como nota The Verge en su repaso. ¿Qué información quedó expuesta? Nombres completos, correos electrónicos, direcciones postales, números telefónicos y el producto que se compró. De acuerdo a los informes y para fortuna de los clientes, la filtración no incluyó datos bancarios, como detalles de la tarjeta de crédito.
Diachenko divulgó capturas de pantalla que dan cuenta de la exposición de la información. El investigador señaló que cuando descubrió la falla intentó comunicarse con Razer para dar el reporte y que la empresa remedie la falla, y que recién recibió respuesta luego de tres semanas. Más tarde, el reconocido fabricante del sector gamer reconoció la mala configuración del servidor y la filtración de los datos mencionados. De acuerdo a la firma, no se filtraron datos sensibles, como medios de pago, y solucionaron el error el 9 de septiembre.
“Inmediatamente notifiqué a la empresa a través de su canal de soporte sobre la exposición, sin embargo, mi mensaje nunca llegó a las personas adecuadas dentro de la empresa y fue procesado por gerentes de soporte no técnico durante más de 3 semanas hasta que la instancia se aseguró del acceso público”, comentó Diachenko.
// Descubren vulnerabilidades en Alexa que permiten acceder a información personal e historial bancario
Siguiendo a la fuente mencionada, es una buena noticia que no hayan circulado (o quedado expuestos) datos relacionados a pagos. Sin embargo, la divulgación de información personal, incluyendo direcciones de correo electrónico, puede ser utilizada en campañas de phishing que a su vez podrían derivar en ataques de otra especie, para acceder a datos sensibles.
“Los clientes (afectados) deben estar atentos a los intentos de phishing enviados a su teléfono o dirección de correo electrónico. Los emails o mensajes maliciosos pueden alentar a las víctimas a hacer clic en enlaces a páginas de inicio de sesión falsas o descargar malware en su dispositivo”, notó al respecto el experto en seguridad.
