Desde abril, un hacker con un historial de venta de datos robados ha reclamado una violación de datos de miles de millones de registros (que afectan al menos a 300 millones de personas) de un corredor de datos de EE. UU., lo que la convertiría en una de las supuestas violaciones de datos más grandes del año.
Los datos, vistos por TechCrunch, por sí solos parecen parcialmente legítimos, aunque imperfectos. Los datos robados, que se anunciaron en un conocido foro sobre delitos cibernéticos, supuestamente se remontan a años atrás e incluyen los nombres completos de los ciudadanos estadounidenses, su historial de domicilios y números de Seguro Social, datos que están ampliamente disponibles para la venta por parte de corredores de datos.
Pero confirmar la fuente del presunto robo de datos no ha resultado concluyente, tal es la naturaleza de la industria de intermediación de datos, que devora datos personales de individuos de fuentes dispares con poco o ningún control de calidad.
El presunto intermediario de datos en cuestión, según el hacker, es National Public Data, que se anuncia a sí mismo como “uno de los mayores proveedores de registros públicos en Internet”.
En su sitio web oficial, National Public Data afirmó vender acceso a varias bases de datos: un “Buscador de personas” donde los clientes pueden buscar por número de Seguro Social, nombre y fecha de nacimiento, dirección o número de teléfono; una base de datos de consumidores estadounidenses “que cubre más de 250 millones de personas”; una base de datos que contiene datos de registro de votantes que contiene información sobre 100 millones de ciudadanos estadounidenses; uno de antecedentes penales y varios más.
El grupo de investigación de malware vx-underground dijo en X (anteriormente Twitter) que revisaron toda la base de datos robada y pudieron “confirmar que los datos presentes en ella son reales y precisos”.
“Buscamos a varias personas que dieron su consentimiento para que se buscara su información”, escribió el grupo, y agregó que pudieron encontrar la información de esas personas, incluidos nombres, historial de direcciones que se remonta a más de tres décadas y números de Seguro Social.
“También nos permitió encontrar a sus padres y a sus hermanos más cercanos. Pudimos identificar a alguien. [sic] padres, parientes fallecidos, tíos, tías y primos”, escribió vx-underground.
TechCrunch hizo esfuerzos similares para verificar la autenticidad de los datos, con resultados mixtos.
Contáctenos
¿Tiene más información sobre este incidente o incidentes similares? Desde un dispositivo que no sea del trabajo, puede comunicarse con Lorenzo Franceschi-Bicchierai de forma segura en Signal al +1 917 257 1382, o mediante Telegram, Keybase y Wire @lorenzofb, o por correo electrónico. También puede comunicarse con Zulkarnain Saer Khan en Signal al +36707723819 o en X @ZulkarnainSaer. También puede ponerse en contacto con TechCrunch a través de SecureDrop.
En nuestra revisión de una muestra más pequeña de cinco millones de registros, encontramos una gran cantidad de nombres y direcciones que coinciden con los registros públicos correspondientes, pero también algunos datos que no siempre tienen sentido, como direcciones de correo electrónico con nombres diferentes que no tienen relación aparente con el resto de datos del individuo asociado. Algunos registros contenían supuesta información sobre personas conocidas de alto perfil, incluidos los datos personales de un expresidente de Estados Unidos.
TechCrunch proporcionó al USDoD, el hacker que vende los datos, los nombres de ocho personas que dieron su consentimiento, en un intento de verificar que el hacker realmente tiene datos legítimos. El hacker no proporcionó ningún dato sobre las ocho personas.
TechCrunch también contactó a cien personas cuyos números y correos electrónicos estaban en la muestra. Sólo una persona respondió y confirmó que parte de los datos supuestamente robados eran ciertos, pero no todos.
Ir directamente a la supuesta fuente del robo de datos tampoco respondió mucho.
A pesar de varios intentos de ponerse en contacto con la empresa, National Public Data no ha respondido, ni tampoco su fundador y director ejecutivo, Salvatore Verini. Después de que TechCrunch se comunicara por primera vez con National Public Data la semana pasada, la compañía eliminó las páginas de su sitio web que incluían detalles sobre las bases de datos a las que vende acceso.
No todas las violaciones de datos denunciadas por los piratas informáticos, especialmente las anunciadas en foros de piratería, resultan ser reales. Es por eso que TechCrunch y otros reporteros de ciberseguridad a menudo dedican una cantidad considerable de tiempo a intentar verificar una violación de datos, esfuerzos que a veces terminan con resultados no concluyentes.
Pero esta supuesta violación de datos de un corredor de datos parece ser un caso atípico, en parte porque algunos de los datos parecen genuinos y otros ya están verificados.
La proliferación y mercantilización de los datos personales en la industria de los intermediarios de datos también hace que sea más difícil identificar la fuente de las fugas de datos. E incluso si esta violación de datos en particular sigue sin resolverse, demuestra una vez más que la industria de los intermediarios de datos está fuera de control y plantea verdaderos problemas de privacidad para la gente corriente.
No pudimos resolver definitivamente el misterio de esta violación de datos, pero había suficiente información para detallar nuestros esfuerzos de verificación. Una cosa está clara. Mientras los intermediarios de datos recopilen información personal, seguirá existiendo el riesgo de que los datos salgan a la luz.
