Un actor de amenazas conocido como Menelik reveló que extrajo información de 49 millones de registros de clientes de Dell mediante una API de portal de socios. El acceso se logró registrando cuentas falsas con nombres de empresas ficticias, lo cual permitió al atacante acceder al sistema en dos días sin verificación.
Detalles de la filtración
La información obtenida incluyó datos de pedidos de clientes, como información de garantía, etiquetas de servicio, nombres de clientes, ubicaciones de instalación, números de clientes y números de pedidos. Menelik indicó que los registros contienen un desglose del hardware, entre ellos monitores, portátiles Alienware, Chromebooks, cuadernos Inspiron, computadoras de escritorio Inspiron, portátiles Latitude, Optiplex, Poweredge, computadoras de escritorio de precisión y portátiles de precisión.
Proceso de extracción
Menelik mencionó que creó un programa para generar etiquetas de servicio de 7 dígitos y las envió al portal a partir de marzo, obteniendo la información devuelta. Según el actor, debido a que el portal no incluía limitación de velocidad, pudo recopilar los datos de 49 millones de registros generando 5.000 solicitudes por minuto durante tres semanas sin que Dell bloqueara los intentos.
Comunicación con Dell
Menelik envió correos electrónicos a Dell el 12 y 14 de abril para informar sobre la brecha, pero admitió que ya había recopilado los datos antes de contactar a la empresa. Según el actor, Dell no respondió a los correos electrónicos y no solucionó el error hasta aproximadamente dos semanas después, cuando los datos se pusieron a la venta por primera vez en un foro.
Vulnerabilidades en las APIs
El incidente refleja una vulnerabilidad común en las API: su acceso fácil y falta de limitación de velocidad. TechCrunch informó sobre el uso de esta API por parte del actor para extraer datos de clientes de Dell, destacando que este tipo de fallas ha sido aprovechado previamente por actores de amenazas.
En 2021, los actores de amenazas abusaron de un error en la API de Facebook para vincular números de teléfono a más de 500 millones de cuentas. En diciembre del mismo año, explotaron una falla en la API de Twitter para vincular millones de números de teléfono y direcciones de correo electrónico a cuentas de Twitter. Más recientemente, se aprovechó una falla en la API de Trello para vincular una dirección de correo electrónico a 15 millones de cuentas.
Estos incidentes muestran que las APIs son un punto débil común si no se implementan con medidas adecuadas de seguridad, como limitaciones de velocidad y verificaciones robustas. La falta de estas medidas facilita el acceso no autorizado a grandes volúmenes de datos.