edición general
396 meneos
3004 clics

Hackeo a Decathlon: 123 millones de datos han sido filtrados

Grave hackeo el que ha sufrido la empresa francesa Decathlon. Hoy se ha conocido que la compañía sufrió una brecha de seguridad en la que se han visto expuestos 123 millones de registros, incluyendo todo tipo de datos personales que permiten a quien los tenga en su poder suplantar la identidad de los afectados. La compañía que ha revelado el hackeo ha sido vpnMentor, que afirma que la filtración de datos afecta a un servidor de Decathlon España, y que también podría haber afectado a la red de la cadena en Reino Unido.

| etiquetas: hackeo , decathlon , datos , filtración
161 235 0 K 295 tecnología
45 comentarios
161 235 0 K 295 tecnología
Comentarios destacados:            
  1. #1 --272073--
    Los Decatloners declararán un día de luto y un minuto de silencio antes de entrar.
    4 K 42
  2. #2 manson2000
    irgen santa....
    1 K 14
  3. lecheygalletas #3 lecheygalletas *
    Vamos que ya saben mi talla de calcetines y calzoncillos.:shit:
    0 K 10
  4. Horrifida #4 Horrifida
    ¿Qué datos puede tener decathlon para permitir a alguien suplantar mi identidad?
    0 K 6
  5. alexwing #5 alexwing
    #4 se entiende en su sitio web.
    0 K 11
  6. Bad_CRC #6 Bad_CRC
    "Hoy se ha conocido que la compañía sufrió " con la gdpr no tienen que comunicar ellos el hackeo a los afectados? a mi no me han avisado...
    4 K 33
  7. #7 lestat
    #4 No te creas, a mí al parecer me ha suplantado por un modelo griego que parece un Dios con abdominales de titanio y una tirada de varias decenas de cms... no es tan difícil que lo suplanten a uno! xD

    Ahora en serio, hay gente enferma que van a comprar allí hasta la bolsa del bocadillo.
    Recordad, su ropa no adelgaza, su ropa no adelgaza, su ropa no adelgaza...
    5 K 52
  8. #8 decker
    Vaya, ellos lo saben desde el día 16... y no comunican nada a los usuarios. DE COJÓN HOYGAN.
    4 K 40
  9. #9 --604157--
    pues genial, acabo de entrar con mi cuenta y ni un triste mensaje ni consejo de que debo cambiar iniminentemente mi password o datos, cuenta que borro y a tomar por culo.
    4 K 42
  10. subzero #10 subzero
    #9 a estas alturas ya da igual...
    1 K 21
  11. #11 --588378--
    #6 Porque no te habrán visto muy afectado.
    0 K 11
  12. McQueen #12 McQueen
    #4 Tienen una tarjeta de puntos para la que tienes que dar los datos personales típicos. Nombre, apellidos, dni, dirección, teléfono.... Más que suficiente para liártela.
    4 K 41
  13. subzero #13 subzero
    #4 Pues "todos".

    No entiendo por qué tengo que proporcionar cosas como mi DNI para comprarme unas alpargatas.
    5 K 46
  14. kmon #14 kmon
    #4 se trata de datos de empleados, habrá cosas bastante más sensibles que si fueran datos de clientes
    0 K 7
  15. #15 exeware
    #4 datos de pago?
    0 K 7
  16. #16 --274845--
    Broncano estará temblando.
    0 K 11
  17. MrAmeba #17 MrAmeba
    #3 No, si eres socio saben tu DNI, dirección, nombre, a lo mejor tarjeta de crédito asociada, compras.... son datos importantes y decathlon debería de indemnizar a los dañados y/o pagar una multa. El "me han hackeado" no debería ser eximiente
    28 K 230
  18. sieteymedio #18 sieteymedio
    Mi número de calzado al alcance de cualquiera! :'(
    0 K 6
  19. smilo #19 smilo
    #7 tu mujer estara encantada con esa suplantacion de identidad :troll:
    2 K 30
  20. knzio #20 knzio
    #1 ¿el luto decathloner es con ropa fosforita?
    4 K 44
  21. #21 --557691--
    Deportistas conectados a Internet. Que puede salir mal?
    0 K 6
  22. #22 killabyte
    #2 virgen santa los pedazo de ineptos que trabajan ahí que dejan un elastic search cara a internet y sin contraseña. En estos casos multas millonarias me sabe a poco, debería barajarse prisión para el CIO o el CEO y la cosa cambiaría. Es de traca.
    12 K 92
  23. pedrobz #23 pedrobz
    Noticia algo sensacionalista. Oficialmente los datos de los clientes no se han filtrado, eso si, de los empleados casi hasta la talla de la ropa interior:

    "Decathlon España afirma que los datos que se han filtrado no son sensibles, y que “sólo el 0,03% son datos de usuarios, mientras que el 99,97% restante pertenece a datos técnicos a nivel interno"
    "vpnMentor, por el contrario, afirma que los datos que han analizado sí incluyen usuarios y contraseñas sin cifrar de los empleados, número de la Seguridad Social, números de teléfono, etc"

    Otra cosa es que te creas lo que dicen...
    2 K 34
  24. redscare #24 redscare *
    #4 Nombre, apellidos, dni, email, número de teléfono... Con buena ingeniería social ya puedes suplantar a alguien ante la compañía de teléfono. De ahí sacas la cuenta bancaria, y ya puedes meter a alguien en un embolao. Y no digamos ya si consigues que la compañía de móvil te mande una sim nueva.
    0 K 7
  25. redscare #25 redscare
    #5 No, si eres socio con tarjeta tienen un huevo de datos tuyos.
    0 K 7
  26. polipolito #26 polipolito
    #24 conozco de cerca las compañías telefónicas. No les sacas una cuenta bancaria ni a tiros. Más bien son ellos los que te la sacan a ti.
    0 K 6
  27. #27 Mustela
    #22 A cualquiera se nos podría pasar una contraseña "de prueba" en algún momento para acelerar un proceso y comprobar que algo funciona, pero poner en riesgo un servidor que aloje datos sensibles, y accesible en Internet... ¡manda huevos!
    3 K 21
  28. Attanar #28 Attanar
    123 millones de datos, curiosa medida.
    2 K 24
  29. #29 manson2000
    #22 A mi lo que me deja ojiplatico es que en muchos hackeos, las contraseñas las empresas las tienen en blanco. JODER....un Sha1 o md5 al menos...
    1 K 20
  30. inar #30 inar
    #20 Y ceñida :foreveralone:
    1 K 13
  31. bewog #31 bewog
    #22 y retirarles el carnet de colegiado {0x1f62c}
    0 K 9
  32. Dramaba #32 Dramaba *
    #31 Ya no podrán arbitrar? :troll:
    0 K 7
  33. #33 mariopg
    jaja, no hay putas más baratas que nuestros datos
    0 K 6
  34. #34 raul_lapeira
    #9 pues mas claro xxxddd
    0 K 9
  35. #35 raul_lapeira
    #23 logate en la web si tienes cuenta y te dicen que cambies el password... Algunos sois tan credulos que pareceis los jefes de proyecto de la subcontrata
    2 K 33
  36. Raul_Lomi #36 Raul_Lomi
    #17 toda la ley de protección de datos que quieras, multas por infringirla, pero luego puede dejar una puerta abierta o decir que te han hackeado y puedes hacer pasta con esos datos, llamadme malpensado
    1 K 18
  37. neo1999 #37 neo1999
    #36 Venga va, malpensao!
    0 K 11
  38. Ramsay_Bolton #38 Ramsay_Bolton
    #16 pues que me la agarre con la mano
    2 K 29
  39. #39 capitan.meneito
    #4 pues si reutilizas contraseñas...
    0 K 9
  40. #40 noises
    #36 Si las multas son lo suficientemente elevadas no debería haber ese problema.
    0 K 9
  41. #41 DabbaDoo
    #17 En el artículo dicen que los datos pertenecen a trabajadores de la empresa, no a clientes. Ahora puedes creértelo o no (en las capturas aparece un mensaje enterito de RabbitMQ).

    A nivel técnico, este tipo de hackeos es ya un clásico: un ElasticSearch expuesto a internet (seguramente en AWS o Azure) sin ningún tipo de control de accesos (como viene por defecto).
    Es muy normal usar ElasticSearch para monitorización, registro de actividad y/o logs en general (ese es el caso aquí, acompañado de Graylog).

    Se pueden encontrar ElasticSearch abiertos en Shodan con la búsqueda: "tagline" "You Know, for Search"
    2 K 15
  42. TheGoOse #42 TheGoOse
    Por lo que leo, usaban un servidor de búsquedas ElasticSearch configurado con los datos por defecto, y, además de todos los datos personales de los empleados, a través de él se registraban en los logs los datos de acceso de clientes incluyendo contraseñas sin encriptar. Vamos, que se trata de una cadena de fallos absulutamente demencial para cualquier servidor en producción, y deberían pedir responsabilidades a su equipo de sistemas por negligencia.

    www.vpnmentor.com/blog/report-decathlon-leak/
    0 K 9
  43. #43 --467087--
    #13 No tienes que proporcionar esos datos para comprar unas alpargatas, sino para tener una tarjetita de puntos.
    0 K 10
  44. #44 didodido
    #22 Tranqui que alguien pagará las consecuencias, y no será de la parte más alta de la pirámide.
    0 K 6
  45. #45 lestat
    #19 lo cual me deja libre al 100% para ti... Mmm xD
    0 K 7
comentarios cerrados

menéame