Socar denuncia fuga de datos de 248 clientes por vulnerabilidad BOLA en API

Socar informó que un ataque externo a una función de consulta interna provocó la exposición de datos personales de 248 usuarios. El incidente se produjo el 7 de octubre a las 22:13 y fue detectado a las 22:23. La brecha afectó a usuarios registrados entre abril de 2012 y abril de 2013. Los datos comprometidos incluyeron nombre, fecha de nacimiento, sexo, teléfono móvil, correo electrónico, dirección, número de socio y parte del número de licencia de conducir. No se expuso contraseña ni información de pago. La empresa atribuyó la vulnerabilidad a una debilidad de control de acceso a nivel de objeto conocida como BOLA, que permite acceder a datos de otros usuarios si la verificación de permisos es insuficiente.

El ataque se produjo mediante acceso a una API que no validaba adecuadamente los permisos del solicitante. Un portavoz explicó que el retraso entre el inicio del ataque y la detección fue de aproximadamente cinco minutos, tras los cuales se bloqueó la dirección IP involucrada y se limitó el alcance de la fuga. La compañía activó un protocolo de respuesta inmediata y notificó al Korea Internet & Security Agency el 8 de octubre. Los clientes afectados recibieron avisos por mensaje o correo electrónico. No se han registrado casos de uso indebido de la información hasta el momento.