Por Canuto  

Un investigador sostiene que Manchester Airports Group dejó expuestas durante cuatro años unas claves API de Iterable con permisos suficientes para consultar, modificar o incluso eliminar datos de clientes. La falla habría afectado a los sitios web de Manchester, Stansted y East Midlands, y estaría vinculada con la exposición de 8,7 millones de registros.
***

  • Scott Helme afirma que tres claves API permanecieron visibles en paquetes de JavaScript entre 2022 y 2026.
  • Las credenciales permitían consultar perfiles, reservas y compras, además de modificar o eliminar registros.
  • Manchester Airports Group rechaza la idea de que se tratara de un simple descuido y mantiene investigaciones con autoridades británicas.

Una exposición prolongada en los sitios web

Manchester Airports Group, operador de los aeropuertos de Manchester, Stansted y East Midlands, habría mantenido claves API privilegiadas dentro del JavaScript que entregaban sus sitios web a los navegadores. El investigador de seguridad Scott Helme afirma que los valores estuvieron expuestos desde junio y julio de 2022 hasta agosto de 2026, un periodo de aproximadamente cuatro años durante el cual cualquier visitante con conocimientos básicos podía localizarlos.

La información fue reconstruida después de que el grupo de extorsión FulcrumSec publicara datos atribuidos a MAG y describiera la presunta falla como “trágico-cómica”. Según The Register, Helme utilizó versiones antiguas de los sitios conservadas en la Wayback Machine de Internet Archive para identificar cuándo aparecieron las tres credenciales y comprobar que permanecieron sin cambios durante años.

Las claves no figuraban directamente en el código HTML de las páginas, una diferencia que pudo dificultar su detección durante revisiones rutinarias. Sin embargo, estaban disponibles dentro de los paquetes de JavaScript cargados por los sitios, por lo que una persona podía obtenerlas examinando los recursos enviados al navegador del usuario.

Helme sostiene que la exposición no permite saber cuántas personas pudieron copiar las credenciales antes de que fueran retiradas. El investigador señaló que MAG necesitaría revisar hasta cuatro años de registros de actividad de Iterable, siempre que la compañía conserve historiales suficientemente extensos, para determinar quién utilizó las claves y qué acciones ejecutó.

Permisos que excedían la función prevista

Iterable es una plataforma utilizada para automatizar comunicaciones de marketing y administrar interacciones con clientes. En este caso, la función prevista de las claves consistía en atribuir clics realizados en páginas web a correos electrónicos de marketing, una tarea acotada que, de acuerdo con Helme, no justificaba el nivel de acceso concedido.

El investigador afirma que las credenciales tenían permisos de lectura y escritura sobre varios de los principales endpoints de Iterable. Eso habría permitido consultar perfiles de clientes, reservas de estacionamiento y salas VIP, así como compras de servicios Fast Track, datos que coincidirían con la estructura y el contenido de la información posteriormente extraída.

La documentación de Iterable advierte que las claves privadas no deben utilizarse directamente desde el código que recibe el navegador. La arquitectura recomendada exige que las solicitudes pasen por servidores propios de la empresa, donde las credenciales pueden mantenerse en secreto y cada operación puede limitarse de acuerdo con su finalidad.

El problema, por tanto, combinaba una exposición técnica con una configuración de permisos demasiado amplia. Una credencial visible en el cliente ya representa un riesgo, pero una clave capaz de leer y escribir grandes volúmenes de información también puede comprometer la integridad de los registros y la disponibilidad de la plataforma.

El riesgo de borrar o alterar los registros

Helme afirma que su análisis encontró endpoints capaces de eliminar registros y listas de clientes, además de modificar perfiles existentes. No presentó indicios de que FulcrumSec hubiera ejecutado esas acciones, pero sostuvo que las capacidades estaban disponibles para cualquiera que hubiera obtenido las claves durante el periodo de exposición.

La diferencia entre consultar datos y poder alterarlos es central para evaluar el incidente. Una intrusión limitada a la confidencialidad puede revelar información personal y comercial, mientras que el acceso de escritura abre la posibilidad de corromper bases de datos, modificar perfiles o interrumpir procesos que dependen de registros confiables.

El investigador describió como especialmente grave que la eliminación de la base de datos de MAG pudiera haber quedado a una distancia mínima de la opción “ver código fuente”. También cuestionó cómo podría la compañía verificar ahora que los datos restantes no fueron modificados, una preocupación que va más allá del robo confirmado de información.

MAG sostiene que fue víctima de un delito y rechaza la caracterización de que el incidente no requirió ninguna intrusión técnica. La empresa calificó el ataque como “sofisticado” y afirmó que se trató de un hackeo, no de un descuido, mientras continúa sus indagaciones para establecer el alcance y el mecanismo de la operación.

Investigaciones y disputa sobre el incidente

FulcrumSec publicó los datos atribuidos a Manchester Airports Group el 2 de septiembre, aproximadamente una semana después de que la compañía confirmara que había decidido no pagar la extorsión. La Oficina del Comisionado de Información del Reino Unido, conocida como ICO, indicó que la demanda del grupo fue inferior a las que suelen plantear otros ciberdelincuentes.

MAG mantiene una investigación conjunta con el ICO y apoya las pesquisas de la Agencia Nacional del Crimen. La compañía se negó a comentar específicamente las conclusiones de Helme, por lo que las afirmaciones sobre la antigüedad de las claves, sus privilegios y la posible capacidad de borrado todavía corresponden al análisis del investigador, no a hechos reconocidos por el operador aeroportuario.

La disputa también muestra por qué la atribución de responsabilidades puede complicarse después de una filtración. MAG puede haber sufrido una acción criminal y, al mismo tiempo, haber mantenido controles deficientes sobre secretos utilizados en aplicaciones web; determinar cómo encajan ambas circunstancias dependerá de los registros técnicos y de las conclusiones de las autoridades.

El caso plantea una lección aplicable a cualquier organización que conecte sus servicios digitales con plataformas externas: las claves API deben permanecer fuera del código que se ejecuta en el navegador, contar con permisos mínimos y rotarse con regularidad. Cuando una credencial permanece expuesta durante años y además permite leer, modificar o eliminar datos, un error de configuración puede convertirse en un incidente de confidencialidad, integridad y disponibilidad al mismo tiempo.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados