La explotación y el abuso relacionados con COVID-19 están aumentando a medida que los datos de las vacunas abren nuevas fronteras para los actores de amenazas.
Esta semana, el Departamento de Salud de Indiana emitió un aviso de que el sistema de rastreo de contactos COVID-19 del estado había sido expuesto a través de una mala configuración en la nube, revelando nombres, correos electrónicos, género, etnia, raza y fechas de nacimiento de más de 750,000 personas.
El incidente muestra que los datos de COVID-19 podrían estar preparados para el abuso y el uso indebido, según los expertos, que ahora se recopilan sobre millones de personas en todo el mundo. La pregunta es si se está protegiendo adecuadamente de los actores de amenazas. Y resulta que podría haber algo de trabajo por hacer en el frente de seguridad.
Mientras tanto, el fraude de la vacuna COVID-19 también está en aumento, lo que demuestra que la pandemia todavía ofrece una rica vena para los ciberdelincuentes de todos los tipos.
When it comes to the contact tracing incident, “We believe the risk to Hoosiers residents whose information was accessed is low,” State Health Commissioner Kris Box, MD, said in a statement. “We did not collect Social Security information as part of our contact tracing program and we did not obtain medical information. We will provide adequate protections for anyone affected.”
Resulta que el Departamento de Salud de Indiana tenía razón a medias; la amenaza era baja. La empresa que accedió a la información era una empresa de ciberseguridad llamada UpGuard, que encontró una API mal configurada, insegura y visible para cualquier persona en Internet. Cuando UpGuard alertó a los funcionarios de Indiana, no parecieron entender que UpGuard estaba tratando de ayudar, no abusar de sus datos.
Datos de seguimiento de contactos de Indiana no protegidos
In response to a report by UpGuards security researchers that data was not protected, the Indiana Department of Health said the company gained “unauthorized access” to its contact tracing database, according to the AP report. . The state also claimed that UpGuard “improperly accessed” the data, apparently without understanding that UpGuard was trying to help them improve their cybersecurity posture.
“Por un lado, nuestra empresa no 'accedió indebidamente' a los datos. Los datos se dejaron accesibles al público en Internet ”, dijo Kelly Rethmeyer, portavoz de la compañía UpGuard. “Esto se conoce como fuga de datos. No estaba desautorizado porque los datos se configuraron para permitir el acceso a usuarios anónimos y accedimos a ellos como un usuario anónimo ".
La Oficina de Tecnología de Indiana dijo más tarde que el problema de configuración del software se solucionó y solicitó a UpGuard que devolviera los registros accedidos, lo cual hizo.
Aunque el problema se ha solucionado y la API ahora está asegurada, la aparente confusión en torno a una divulgación de una empresa de ciberseguridad muestra que los gobiernos locales podrían no ser plenamente conscientes de los riesgos o las herramientas disponibles para ayudar a apuntalar la ciberseguridad, como poder trabajar. con la comunidad de investigadores de manera eficaz para mitigar las vulnerabilidades notificadas.
No obstante, los municipios de todo el mundo están recopilando grandes cantidades de datos a través de los programas de rastreo de contactos COVID-19, como el de Indiana, y el mantenimiento de registros de vacunas.
"Estamos en una pandemia de violación de datos", dijo Rethmeyer de UpGuard a Threatpost.
Tarjetas COVID-19 falsificadas
Mientras tanto, Flashpoint también ha publicado un informe que detalla un aumento en los ciberdelincuentes que venden certificados de vacuna COVID-19 falsificados y otra documentación de salud pública relacionada con COVID-19 en reacción a un aumento en los negocios estadounidenses que requieren prueba de vacunación antes de congregarse en espacios públicos.
El informe de Flashpoint agregó que estas credenciales falsas están disponibles en varios canales cerrados subterráneos, como foros subterráneos, salas de chat y más.
Flashpoint observó a un ciberdelincuente llamado "Freedom" anunciando documentación de vacunas falsa proporcionada con la ayuda de médicos.
“Los analistas de Flashpoint creen que este anuncio se colocó en un canal de bloqueo anti-COVID para dirigirse a los clientes que son escépticos sobre las vacunas y los bloqueos en los EE. UU.”, Dice el informe.
Otra persona llamada "BigDOCS" estaba ofreciendo cartas que declaraban que alguien dio negativo en la prueba de COVID-19, por $ 40. Otro vendedor de certificados falsificados estaba ofreciendo una tarjeta de vacuna falsa por $ 100, y por $ 125 el destinatario puede recibirla durante la noche.
Otro estafador en Telegram afirmó que podía producir una tarjeta de vacuna para una vacuna de Pfizer o Johnson & Johnson.
Se pueden comprar documentos fraudulentos similares para su uso en toda la Unión Europea, agregó Flashpoint. En el foro clandestino Nulled, los investigadores encontraron un certificado de vacuna de la UE a la venta por $ 450.
“El actor de amenazas que anuncia el certificado mencionó que también es un escéptico de las vacunas que no confía en el gobierno y no quiere verse obligado a vacunarse”, informó Flashpoint.
Flashpoint incluso encontró una plantilla de vacuna CDC COVID-19 en blanco disponible de forma gratuita en 4chan.
“Los analistas de Flashpoint han observado a los actores de amenazas en el tablero de imágenes de 4chan que comparten plantillas de vacunas CDC COVID-19, a las que se puede acceder de forma gratuita a través de fuentes web abiertas”, dice el informe.
Con los delincuentes decididos a eludir los requisitos de salud pública para las vacunas, las pruebas y el rastreo de contactos, los gobiernos tendrán que mantenerse al día.
Author: Becky Bracken.
Fuente: https://threatpost.com/covid-contact-tracing-exposed-fake-vax-cards/168821/
