Un proveedor de SMS letón dejó expuestos 125 millones de mensajes con códigos de acceso

La filial letona de CSCTelecom, una empresa que envía SMS en nombre de otras compañías, dejó abierta en internet una base de datos con más de 125 millones de mensajes. Según publicó Cybernews el 11 de noviembre, los mensajes van de octubre de 2022 a septiembre de 2026 e incluyen códigos de inicio de sesión de un solo uso, enlaces para restablecer contraseñas, avisos bancarios y datos de vuelos enviados a personas en Letonia, Lituania y Estonia. La base se actualizaba en tiempo real, así que quien la vigilara veía un código en el mismo momento en que llegaba al teléfono del destinatario.

Qué había en los mensajes

La base funcionaba con ClickHouse y guardaba el texto completo de cada mensaje, el nombre de la empresa remitente, la hora de envío, el precio de cada SMS y datos de enrutamiento de la red móvil. Cybernews enumera códigos de autenticación, contraseñas temporales, resultados de análisis médicos, datos de reservas, avisos de entrega con nombres y direcciones, fechas de viaje y notificaciones de operaciones bancarias.

Los mensajes de Swedbank mostraban números de cuenta IBAN, importes, destinatarios, saldos y, a veces, la tienda de la compra. Los de la aseguradora ERGO contenían números de documentos, matrículas e importes de facturas. Los registros del 112 mostraban números de teléfono y detalles de los casos. Los mensajes de airBaltic incluían datos de vuelos y apellidos de pasajeros, y el servicio de coche compartido CityBee y la cadena de supermercados lituana IKI enviaban códigos de acceso por esta pasarela.

En la lista de remitentes también aparecen las aseguradoras Compensa y Artea, Porsche, el supermercado en línea Barbora, EuroCash, DEPO, los centros comerciales Akropolis, PerlasGo, Autoplius y dos proveedores sanitarios lituanos. LRT añade que entre los mensajes de EuroCash1 había alertas de seguridad sobre instalaciones vigiladas y cajeros.

Por qué los códigos por SMS son el punto débil

Lo más peligroso es el flujo en directo de códigos de un solo uso. Un atacante que ya tuviera la contraseña de alguien y vigilara la base podía introducir el código o abrir el enlace de restablecimiento antes de que el usuario real mirara el teléfono. Cuatro años de historial permiten además trazar el perfil del titular de un número: qué banco usa, dónde compra, cuándo vuela y cuánto gasta.

Voldemaras Kadys, responsable de seguridad e ingeniería de plataforma en Mediatech, propietaria de Cybernews, dijo a LRT que, incluso sin el texto de los mensajes, saber a qué servicios está vinculado un número basta para un fraude dirigido. Un SMS falso que parece venir de tu banco o tu aerolínea resulta mucho más convincente. Según él, el caso también plantea dudas sobre el cumplimiento del RGPD, que obliga a conservar los datos personales solo el tiempo necesario.

Qué dicen las empresas

CSCTelecom no había respondido a Cybernews al cierre de la publicación. SEB Latvia afirmó que usa CSCTelecom solo «de forma limitada» para publicidad de fondos de pensiones, que envía la información sensible por otros canales y que el proveedor no le informó del incidente. airBaltic dijo que evalúa la situación con el proveedor y que es pronto para decir cuántos clientes están afectados. La aerolínea aconseja desconfiar de mensajes, correos y llamadas en su nombre que metan prisa, incluyan enlaces o pidan datos personales. PerlasGo también dijo estar evaluando la situación.

Qué hacer si vive en los países bálticos

• Si en los últimos cuatro años recibió SMS de alguna de estas empresas, dé por hecho que otros conocen su número y los servicios vinculados a él.
• Para el banco y el correo, pase de los códigos por SMS a una aplicación de autenticación o a la confirmación en la app, si el servicio lo permite.
• Cambie las contraseñas de las cuentas que usaban códigos o enlaces de restablecimiento por SMS.
• Desconfíe de llamadas y mensajes que mencionen sus vuelos, pedidos, citas médicas o transferencias, y compruébelos en la app o la web oficial.