Fuga de datos expone 273.000 documentos bancarios en India
273.000 documentos de transferencias bancarias de clientes indios quedaron expuestos en un servidor en la nube sin seguridad. La filtración, descubierta por la firma de ciberseguridad UpGuard, contenía números de cuenta, cantidades y datos de contacto. La información estaba vinculada a al menos 38 entidades financieras y fue asegurada tras ser notificadas las autoridades.
Detalles de la exposición
Los investigadores de UpGuard encontraron el servidor de Amazon públicamente accesible a finales de agosto. Los archivos PDF correspondían a formularios de transacciones procesadas a través del NACH, el sistema nacional de compensación automatizada. Este sistema se utiliza para pagos recurrentes como nóminas o recibos.
Respuesta y negación de responsabilidades
Tras la notificación a las instituciones, Aye Finance y el Banco Estatal de India aparecían con frecuencia en los documentos. Ambas entidades, junto con la Corporación Nacional de Pagos de India (NPCI, negaron inicialmente ser la fuente de la fuga. El acceso a los datos fue bloqueado a principios de septiembre.
La compañía responsable se identifica
Después de la publicación de la noticia, la fintech india Nupay confirmó que el fallo fue suyo. Atribuyó el problema a una «brecha de configuración» en un almacenamiento de Amazon S3. La empresa afirmó que los datos eran en su mayoría de prueba y que no hubo acceso no autorizado.
Discrepancias en la investigación
UpGuard contradice la versión de Nupay. La firma de ciberseguridad señaló que solo unos cientos de archivos parecían ser de prueba. También cuestionó que Nupay pueda asegurar que no hubo acceso no autorizado, ya que la dirección del servidor estaba indexada en una base de datos pública.
Antecedentes de la fuga
El servidor inseguro fue descubierto en agosto y contenía documentos del sistema NACH. Miles de archivos se añadían diariamente al servidor expuesto, lo que aumentaba el riesgo. La notificación al equipo de respuesta a emergencias informáticas de India (CERT-In) condujo a la securización de los datos.
Cierre e implicaciones
El incidente subraya los riesgos de las configuraciones erróneas en la nube. La discrepancia entre la empresa responsable y los investigadores sobre la naturaleza de los datos expuestos deja abierta la cuestión del impacto real. La fuga afecta a la confianza en los sistemas de pago digitales indios.
