Pediste kebab, espera hackers: se reveló una enorme filtración de datos en servicios de entrega de alimentos

El grupo de investigación Cybernews descubrió una filtración de datos de clientes que utilizan populares servicios turcos de entrega de alimentos. El incidente está relacionado con la empresa Paketle Lojistik Hizmetleri, que se encarga de enrutar pedidos a través de una plataforma basada en Kafka, sin garantizar un nivel adecuado de seguridad.

En la mencionada plataforma está disponible una extensa lista de datos personales de clientes, como nombres, direcciones de casa, números de teléfono, correo electrónico, detalles de pedidos, direcciones IP y tokens de autenticación. Esta información es accesible para cualquiera que se conecte al sistema, sin autenticación alguna.

«Cada vez que se realiza un nuevo pedido, cualquier persona ajena puede conocer información confidencial sobre cualquier cliente», afirmaron los investigadores de Cybernews. «En este momento, el sistema es como una fuente que salpica datos personales».

Los investigadores lograron encontrar pedidos realizados a través de las siguientes aplicaciones turcas de entrega de alimentos:

• Getir: 4,8 millones de visitas al sitio por mes, más de 10 millones de descargas en Google Play;
• Yemek Sepeti: 4,8 millones de visitas al sitio por mes, más de 10 millones de descargas en Google Play;
• Migros: 184 mil visitas al sitio por mes, más de 10 millones de descargas en Google Play;
• Trendyol: 27 mil visitas al sitio por mes, más de 1 millón de descargas en Google Play.

Los especialistas de Cybernews informaron sobre su hallazgo a los representantes de Paketle Lojistik Hizmetleri, así como a las autoridades turcas, incluyendo el equipo local de respuesta a incidentes informáticos. A pesar de ocho cartas enviadas entre el 25 de enero y el 4 de marzo de 2024, la empresa no tomó medidas para solucionar la vulnerabilidad. Al momento de la publicación, el acceso a las instancias vulnerables de Kafka seguía abierto.

La plataforma almacena datos de pedidos de los últimos diez días, y se agregan nuevos prácticamente cada minuto. En el transcurso de un año, los ciberdelincuentes pudieron acceder a más de 3 millones de pedidos únicos.

Esta filtración crea una grave amenaza para la seguridad de los clientes turcos. Los ciberdelincuentes pueden utilizar estos datos para revelar ubicaciones, robar pedidos, hacerse pasar por repartidores, realizar ataques de phishing y otros ciberdelitos. También pueden verse afectados los restaurantes integrados al sistema de Paketle, que podrían sufrir falsificación de pedidos y caos operativo.

Los investigadores de Cybernews enfatizan la necesidad de solucionar urgentemente la vulnerabilidad. Se recomienda a los propietarios de la plataforma implementar un sistema de autenticación, configurar listas blancas de direcciones IP, aplicar encriptación SSL/TLS y mecanismos de monitoreo para detectar y responder a actividades sospechosas.