El Servicio Postal de los Estados Unidos (USPS) ha reparado un fallo de seguridad que permitió a cualquier persona con una cuenta en usps.com ver los detalles de la cuenta de cualquiera de los 60 millones de personas que se suscribieron al servicio. En algunos casos, la falla incluso permitió que se realizaran cambios a esas cuentas. En una entrada en su blog, el especialista en seguridad Brian Krebs dijo que recientemente fue contactado por un investigador que le advirtió que se había puesto en contacto con USPS el pasado año informando de este problema. Al no recibir respuesta, el investigador se comunicó con Krebs, quien abordó el problema directamente con USPS, informando ahora el servicio postal que ha solucionado el error.
Al preguntarle por qué, aparentemente, tardó un año hacer frente al problema, un portavoz de USPS negó la responsabilidad de la compañía aludiendo que no han podido verificar que ese contacto tuvo lugar realmente. Krebs explicó que el error se refería a una vulnerabilidad de autenticación en la API de usps.com vinculada a un servicio de USPS llamado «Visibilidad Informada», que brinda a las empresas, anunciantes y otros remitentes de correo masivo acceso a datos de seguimiento casi en tiempo real relacionados con sus campañas de correo. y envío de paquetes.
Además de exponer datos casi en tiempo real sobre los paquetes y el correo que envían los clientes comerciales de USPS, Krebs explicó que la vulnerabilidad permite que cualquier usuario registrado de usps.com pueda buscar en el sistema detalles de la cuenta de cualquier otro usuario, como el correo electrónico, nombre de usuario, ID de usuario, número de cuenta, dirección, número de teléfono, usuarios autorizados, datos de la campaña de correo y más detalles.
Lo peor es que se podrían realizar cambios en esos datos, aunque Krebs observó que para algunos campos de datos, la verificación en dos pasos evitó que se produjera ninguna alteración.
Resaltando la gravedad de este fallo, el investigador de seguridad Krebs sostuvo que «no se necesitaban herramientas especiales de pirateo para extraer esta información, aparte del conocimiento de cómo ver y modificar los elementos de datos procesados por un navegador web normal como Chrome o Firefox».
USPS, por su parte ha explicado que “se toma muy en serio” cualquier tentativa de acceso a los datos de sus clientes y se encuentra investigando lo sucedido y sostiene que caerá el peso de la ley sobre los que posibles infractores. Por el momento explican que no hay evidencia que sugiera que los registros de los clientes hayan sido explotados de alguna manera.
