edición general
302 meneos
2011 clics
La Generalitat sufre un fallo de ciberseguridad y deja al descubierto miles de correos y contraseñas

La Generalitat sufre un fallo de ciberseguridad y deja al descubierto miles de correos y contraseñas

La Generalitat de Cataluña ha sufrido una vulnerabilidad informática en al menos tres de sus páginas webs. Al menos 5.000 registros con direcciones de correos electrónicos y contraseñas han estado al descubierto por un fallo de seguridad de tipo SQL Injection, vulnerabilidad que explicaremos más adelante. El servicio de TI de la Generalitat mantiene abierta una investigación para detectar si ha habido robo de datos.

| etiquetas: cibersecuridad , cataluña , generalitat , sql injection
121 181 2 K 301 actualidad
135 comentarios
121 181 2 K 301 actualidad
Comentarios destacados:                        
#78 #75 ¿Cataluña? Me encanta.

¿Los catalafachas? Me descojono de ellos y de la caterva de conversos de otras comunidades que bajan la cerviz al ultracatalanyismo. xD xD

Qué cutre ytumasismo en una noticia de cagadas de la Gene. En fin, nada nuevo cara al lazo, con una cuenta de mnm rara vez usada (probablemente clon de alguno de los de siempre).
Katsumi #1 Katsumi
Els hackers ens roben
29 K 202
#83 Moses_Hightower
#1 Los idiotas hasta saben escribir.
7 K -2
Katsumi #94 Katsumi
#83 Ya veo
2 K 18
SantiH #78 SantiH *
#75 ¿Cataluña? Me encanta.

¿Los catalafachas? Me descojono de ellos y de la caterva de conversos de otras comunidades que bajan la cerviz al ultracatalanyismo. xD xD

Qué cutre ytumasismo en una noticia de cagadas de la Gene. En fin, nada nuevo cara al lazo, con una cuenta de mnm rara vez usada (probablemente clon de alguno de los de siempre).
8 K 123
#80 Ominous *
#78 No soy clon de nadie fachi español. La tienes metida muy adentro con Cataluña, solo hace falta ver tus mensajes. Cuando una noticia deja en ridículo a la CAM o Madrid, te escondes en una cueva o votas negativo la noticia. Tu solo sales de la cueva para hablar de Cataluña xD :-*
1 K 2
SantiH #81 SantiH *
#80 claro, claro mi converso extremeño querido.

Le diré a tu jefe de célula de la ANC que ya has llorado a desconocidos por internet en noticias que dejan mal a los catalafachas y ya puede darte tu galletita . A lo mejor te deja lamerle las botas y todo xD xD
7 K 107
#85 Ominous *
#81 No haces más que decir disparates. Ahora tengo ascendencia extremeña o lo que sea :-S
Y por supuesto seguro que estoy involucrado con la ANC xD

Sigue probando.

Que tengas un buen día, y no tengas pesadillas por la noche con puchi :-P
0 K 9
SantiH #63 SantiH
Otro ridícul històric. A ver si publican los correos y nos reímos un rato de como mangonean los ultracatalanyistas las cosas de la Gene.
8 K 96
#75 Ominous
#63 ¿Pero qué clase de trauma tienes con Cataluña? Algún catalán te robó la novia?

Toma, aquí tienes una de tu querida comunidad, de hace menos de un mes: www.elconfidencial.com/tecnologia/2020-10-31/comunidad-madrid-brecha-d
2 K -9
angelitoMagno #2 angelitoMagno
Pues me gustaría ver un documento más técnico, pero si las contraseñas se guardaban encriptadas no deberían poderse leer.

Sería muy raro que no se hiciera así a estas alturas.
6 K 72
#5 tpm1
#2 SI a estas alturas de la vida han conseguido hacerles una inyección SQL, no te extrañe que las contraseñas no estuvieran protegidas o usarán un simple md5.
26 K 194
ElGude #9 ElGude
#5 No sería tan raro. Yo me he encontrado desarrollos donde la contraseña estaba sin cifrar. En pleno 2020.
3 K 27
#14 la_gusa
#9 si se entera la agencia de protección de datos de eso te cae un puro que terminan de pagarlo tus nietos
1 K 21
Arcueid #23 Arcueid
#14 Hace un tiempo denuncié un caso de spam masivo a la AEPD donde se exponían además todos los correos electrónicos.
A lo mejor les pusieron un puro, oye, pero no me informaron del resultado. No sé yo...
1 K 13
thrasher #46 thrasher
#23 hace tiempo en la aepd había un buscador de resoluciones, pero como indica #28 hay casos en que no afecta a aapp
1 K 14
Arcueid #59 Arcueid
#46 Sí, es una opción. O puede que no considerasen relevante. Era una sociedad privada que se lucraba con esos envíos de información, así que me sorprende. Pero puede ser que sea lo que decís.

La denuncia era principalmente por no hacer uso del BCC, pero también por spam no solicitado (nunca me registré en dicho sitio).
0 K 7
#28 prqt
#14 No en la administración. No se multa a sí misma, o sea que...
Al menos es lo que me contaron en un curso sobre esto en la agencia catalana de protección de datos.
2 K 22
ElGude #133 ElGude
#14 A mí no, al que lo desarrollo, que a mí me toco arreglarlo.
0 K 7
#43 onaj
#9 Diselo a Adobe, que le robaron todas las cuentas y ni siquiera tenian una sal
0 K 9
Ramsay_Bolton #86 Ramsay_Bolton
#43 que sosos
2 K 24
squanchy #100 squanchy
#43 Recuerdo cuando cifré las contraseñas de nuestros clientes y añadí sal. Mi jefe flipó con la técnica, y al rato me vino a decir que le añadiese pimienta. Había estado investigando por google.
1 K 14
johel #68 johel
#5 si te descuidas y la contrata era indra precarios s.l , podrian estar perfectamente en una excel
0 K 9
#84 Moses_Hightower *
#5 MD5 es demasiado complicado, un base64 mejor.:-S :-S
0 K 6
anthk #95 anthk
#84 rot13 hombre.
0 K 8
torkato #34 torkato *
#2 Si les han dado bien a Sony y a Nintendo, no les van a dar a la Generalitat... Viendo como se las gastan las plataformas y aplicaciones de los servicios públicos que algunos parecen de los 90. Y muchas incluso sin certificado digital a estas alturas. Lo raro es que no hayan caído mas.

Un ejemplo:
arado.juntaex.es/laboreo/inicio.aspx

Sony:
www.abc.es/tecnologia/abci-entrevista-sony-201104290000_noticia.html

Nintendo:
www.vidaextra.com/nintendo-switch/nintendo-confirma-que-160-000-cuenta

Y había otra mas, no encuentro la noticia pero lo lei en meneame, en un evento de nintendo los administradores usaron la contraseña 1234 y también les dieron.
9 K 82
tyler51 #37 tyler51 *
#2 pregunta en twitter q las guarda/ban en plano
0 K 15
cosmonauta #41 cosmonauta
#2 No creo que sea un sql injection. En voxpopuli no saben ni dónde tienen la mano derecha.

El artículo cita una librería desactualizada y un caso similar de robo de contraseñas en Vueling.

Creo recordar que en aquel caso fue más bien un keylogger que enviaba los datos del formulario a otro servidor.
5 K 39
#45 onaj
#41 +1 Si fuera SQL Injection las habr'ian reventado hace anhos.
1 K 23
cosmonauta #53 cosmonauta
#45 Exacto. Y les habrían robado toda la base de datos, que probablemente ya estaría publicada en algún sitio
1 K 23
Duk #65 Duk
#2 La Gene es un claro ejemplo de que como es absolutamente mal gestionado uno de los recursos criticos de un ente publico tal y como los servicios digitales.
Basicamente, no hay nadie con dos dedos de frente dentro de la Generalitat que sea capaz de llevarlo correctamente. Lo tienen TODO subcontratado y el pastel repartido entre: IBM, LaCaixa(ITNow), Sermicro (corteingles y demas empresas paralelas), T-Systems, desconozco si Indra tiene algo, pero no me extrañaria. Y a la vez, cuelgan dos,…   » ver todo el comentario
10 K 95
johel #72 johel
#65 Eso que cuentas no es nivel cataluña, es nivel españa, es la forma de proceder a nivel informatico de todo el pais.
7 K 58
ACEC #74 ACEC
#65 Yo he llegado a contar 6 hasta niveles de subcontratación para que al final, el "ingeniero" fuera un chavalito que no sabría ni reinstalar su propio PC
3 K 20
manc0ntr0 #131 manc0ntr0
#74 Eso lo he visto yo con un ingeniero de Telefónica, nada de subcontratado.
Si te daba mucha lata le pedías que te crease una extensión y lo tenías entretenido para todo el día
0 K 6
#97 Achtung
#65 Eso es el día a día de todo.
1 K 15
KimDeal #99 KimDeal
#65 itnow que yo sepa no tiene nada con la Generalitat. Y te has dejado a everis, dxc, ticxcat y algunas otras.
Por otra parte, la Gene tiene su empresa con sus ingenieros (el todopoderoso CTTI) pero el problema es que el caos de aplicaciones, lenguajes, frameworks, gestores de bbdd, etc, con permanentes cambios y urgencias, es tan descomunal que aún es raro que no pasen más cosas.

Por lo demás, estoy de acuerdo contigo. Hace falta poner orden urgentemente ahí. Yo estuve trabajando unos años y salí quemadísimo de echar horas extras para corregir desastres funcionales y técnicos de todo tipo.
2 K 17
Duk #116 Duk
#99 tienes razon, me colé, me referia a everis y me confundí, como bien dices, me deje bastantes en el tintero y de las que no sé.
2 K 29
manc0ntr0 #130 manc0ntr0
#65 Amén.
Aquí un antiguo subcontratado por T-Systems que estuvo currando para la Gene.
Si te digo por ejemplo que si se caía el CPD principal tenía que ir un técnico a Sabadell a levantar a mano el de respaldo seguro que no te parece raro
1 K 14
Nute_Gunray #71 Nute_Gunray
#2 no te llegas ni a imaginar la de empresas que guardan sus contraseñas en texto plano
0 K 7
#101 --330392--
#2 Cambia algo pero tampoco tanto.

Si tienes acceso a la base de datos, que las contraseñas esten encriptadas pueden evitar que alguien las use masivamente para probarlas en otros servicios, pero no que hagan un ataque a una en particular para obtener la real.
1 K 27
Dravot #16 Dravot
La República digital.
3 K 55
#10 Alcalino
Que una página gubernamental sea sensible a un ataque sql injection a estas alturas del siglo, ya tiene tela. Y si guardaban las contraseñas en texto plano, ya es de premio.
3 K 47
jacktorrance #15 jacktorrance
Qué pinta la foto de Torra?
4 K 42
atkme #27 atkme
#15 lo mismo que pintó durante su mandato: nada, figurar!
7 K 83
#66 Lubumba
Marca Cataluña España.
3 K 38
#3 Solaris.
Inyección SQL en una plataforma que debería estar muy bien protegida... es una de las vulnerabilidades más clásicas comúnmente (aunque no siempre) causada por malas practicas.
3 K 27
Jordi_Rovira #64 Jordi_Rovira
#3 Una inyección de SQL es de principiantes. No hay excusa
0 K 5
bobbelaki #4 bobbelaki
La Generalitat sufre un fallo de ciberseguridad y deja al descubierto miles de correos y contraseñas

Titular aséptico para maquillar lo que realmente se ha hecho.
2 K 24
#7 eugefu
#4 Ein?
1 K 28
ACEC #76 ACEC
#30 No son solo son preocupantes las contraseñas, Ensenyament tiene datos personales de todos los niños de Cataluña
1 K 22
frg #6 frg
Ninguna de las webs reportadas figura como un sistema crítico y, por lo tanto, no contenían datos críticos o sensibles

No se, pero viendo las páginas afectadas me resulta muy raro que no hayan accedido a datos sensibles. Habrá que ver cuando se podían llevar, pero tiene pinta de que han podido hacer un volcado completo de las BBDD afectadas, y seguro que había datos "bonitos" en las mismas.
1 K 22
cdrg #30 cdrg
#6 Aunque no sean críticas mucha gente usa siempre la misma contraseña, así que una vez consigues una es cuestión de ir a otra web que sí tenga "información sensible" y probar con esas mismas credenciales.
0 K 10
#8 Oreades *
¿Pero quién demonios almacena hoy en día una contraseña en base de datos?
1 K 21
rojo_separatista #11 rojo_separatista
#8, eing?
0 K 13
#18 manson2000
#11 Se refiere a que es raro que se almacenen las passwords (como tales directamente) en una bbdd. Es práctica malísima.
0 K 6
rojo_separatista #33 rojo_separatista
#18, vale, ya lo entendí, presupongo que hoy no hace esto ni un estudiante de primero de ingeniería informática.
0 K 13
#36 manson2000
#33 Desde luego no debería. Burradas hemos visto todos en todos los sitios.
0 K 6
Arcueid #48 Arcueid
#33 Uy. Pues no sé cómo andarán ahora los estudiantes de primero de ingeniería de informática, pero yo he visto burradas así en sistemas de producción, en el departamento de informática, hace menos de una década.
Vamos, lo que dice #36. Otra cosa es que sea una salvajada (y hay muchas).
0 K 7
KimDeal #117 KimDeal
#36 #33 #18 supongo que os referís a guardar la password tal cual, sin hash no? Porque si no es hasheada bbdd o en archivos ocultos encriptados, no conozco más métodos.
0 K 10
marcoschus #62 marcoschus *
#18 pregunta de buena fé
si no se guarda en la BdD.... (Encriptada evidentemente)
donde se guarda?
1 K 13
#73 Marx
#62 En ningún sitio, se guarda su hash en la bdd
4 K 42
marcoschus #90 marcoschus
#73 ah ok, entiendo hash como validación de contraseña
pero algo se debe guardar
entendí que no se guardaba nada (ni el hash)
si es así, entendido
positivo para tí
1 K 19
#98 manson2000
#62 se guarda un md5 o sha de la pass en la bbdd. Pero si te pillan ese hash no sacan la pass.
1 K 16
#105 --330392--
#98 Si que la sacan.

No tan fácil si esta bien hecho y no es un encriptado bidireccional, pero teniendo la hash y la sal, que seguramente también estará en la misma base de datos, y asumiendo que conocen el algoritmo que transforma la clave (que conocerán porque usarán uno conocido) se puede montar un ataque que la obtenga con unos cuantos miles de intentos. Como la hash ya la tienen se ahorran todo el tiempo de establecer conexiones, así que muy fuertes han de ser las contraseñas para decir que no las van a descifrar.
0 K 12
luckyz #25 luckyz
#11 lo lógico es almacenar el hash, no la contraseña en si.
1 K 12
rojo_separatista #31 rojo_separatista
#25, sí, pero el hash se guarda en una base de datos, no?
0 K 13
luckyz #38 luckyz
#31 Claro, pero ese hash solo te sirve para validar si una contraseña es correcta, pero no contiene la contraseña en si. Podrías hacerlo público y no serviría para mucho
1 K 19
rojo_separatista #54 rojo_separatista
#38, obviamente. Pero desde que leí la noticia que he dado por sentado que lo que lo que había quedado expuesto eran los hash, no las contraseñas a pelo.
0 K 13
Arcueid #57 Arcueid
#31 Como indica #38, la idea de usar hashes es la de aplicar conceptos matemáticos que permiten exponer datos en su versión transformada sin que se pueda recuperar la original (entre otros conceptos).

Creo recordar que cuando eso no se implementa correctamente (que haya una relación biyectiva entre dato original y hash) se puede usar para intentar adivinar. Aparte de que haya funciones más o menos "adecuadas" para transformar el dato en hash.
1 K 17
analphabet #92 analphabet
#57 Para ser más preciso el concepto de usar hashes no es para impedir que se pueda recuperar la original, sino para provocar que ese proceso de recuperación no sea inmediato en el tiempo, sino que requiera de una capacidad de computo que en el momento en que ese hash no se considera débil sea de cientos sino miles de años.
0 K 7
Arcueid #102 Arcueid *
#92 Cuando dije "exponer datos en su versión transformada sin que se pueda recuperar la original" debería añadir "únicamente a partir de la versión transformada".

Es decir, en el sentido de obtener una "f" tal que f(hash(dato)) = dato. Recuerdo haber estudiado explícitamente que los hashes eran "one-way methods".

Lo cual es ligeramente diferente a decir que no se puede obtener el dato original mediante prueba y error, de modo que hash(prueba) =…   » ver todo el comentario
0 K 7
#29 Oreades
#8 Doy el punto de vista de alguien conocedor que para la gestión de los sistemas de información de las administraciones públicas no lo suelen hacer funcionarios sino un entramado de empresas cárnicas y UTEs que no dudan en contratar o bien becarios o bien gente hasta los cojones de cobrar una miseria.

#11 ¡Tash-Koh-Tah!
1 K 21
#13 LondoMolari
#8 Das tu punto de vista desde un prisma crítico o conocedor de principios de sistemas. Ahora tienes que ponerte en el punto de vista de un funcionario que se la suda al ser indefinido y va a pasar el rato en el trabajo, y no a trabajar.
3 K -1
#19 manson2000
#13 Pero es que eso no lo hace el funcionario sino quien diseña el programa.
1 K 14
#51 LondoMolari
#19 Lo he entendido mal entonces :tinfoil:
0 K 6
luckyz #26 luckyz
#13 el que programa no es el funcionario, es la empresa adjudicataria
1 K 17
#49 LondoMolari
#26 Lo he entendido mal entonces :tinfoil:
0 K 6
thrasher #52 thrasher
#13 me pongo en tu punto de vista y veo la vida muy gris
0 K 7
#67 LondoMolari
#52 Es que es gris, salvo pequeños destellos de luz.
0 K 6
#22 la_gusa
#8 pues hombre, o están en un sistema LDAP o los tienen externalizado via algo como OAuth (que por detrás usará una base de datos o un LDAP), o están en una base de datos.

Salvo que tengas necesidades de SSO, no tiene nada de malo tenerlas en una base de datos, otra cosa es con que hash lo tengas guardado. Un SHA-384 con random salt es muuuuuy jodido de romper
1 K 19
cabronymous #47 cabronymous *
#22 a lo que #8 se refiere, es a que NO se debe almacenar nunca una contraseña en texto plano, sino un hash de la contraseña.

El tema funciona a grandes rasgos así: cuando el usuario introduce la contraseña en la pantalla de log in (por ejemplo), se compara el hash almacenado con el hash de la contraseña del usuario. El algoritmo de hashing (debería) ser unidireccional, por lo que un atacante que se hiciese con esos hashes no sería capaz de suplantar…   » ver todo el comentario
2 K 8
#56 la_gusa
#47 eehhhhhhmmmm, sí, se de que va eso y se como funciona un algoritmo de hash, pero gracias. :-D
0 K 10
#60 Oreades
#47 Ahí le has dado. Hoy en día no se almacenan contraseñas sino sus resúmenes criptográficos. Esa es la razón por la que en las páginas webs ya no tienen un botón de "recordar contraseña" sino de "generar nueva contraseña". Así, si acceden a la base de datos como mucho pueden robarte el hash y dependiendo del utilizado, no van a poder hacer mucho.

#42 Veo que no entiendes del tema.
0 K 12
cabronymous #134 cabronymous
#47 @zetapazzz, a qué viene el negativo?
0 K 6
llorencs #77 llorencs
#22 Una cosa no me queda clara, SSO no usa OAuth?
0 K 10
#96 la_gusa
#77 un SSO (single sign on) puede usar cualquier protocolo para ello. El de Windows usa el AD y Kerberos.

Se pueden usar cosas como CAS, Kerberos, SAML, OAuth,OpenID...
1 K 20
keiko_san #42 keiko_san
#8 Mucho mejor en una libreta al lado del servidor :shit:
0 K 7
#50 onaj
#8 Pues todo el mundo.

Hasheada y con una sal. Pero todo el mundo la almacena en la base de datos.
1 K 18
#61 Oreades
#50 No. Cuando le metes el hash de una contraseña no almacenas la contraseña porque los algoritmos hash no son bidireccionales, es decir, no puedes calcular una contraseña a partir de su hash.
1 K 5
keiko_san #69 keiko_san
#61 ñiñiñiñiñiñi
Ponte lo quisquilloso que quieras pero es exactamente como dice #50
0 K 7
Idomeneo #79 Idomeneo
#50 Hasheada y con una sal

Y si eres Bruce Schneier, con sal y pimienta:

www.schneierfacts.com/facts/671
2 K 20
#123 la_gusa
#50 es que lo almacenas en la base de datos, pero hasheado. Ambas cosas no son excluyentes
0 K 10
fareway #21 fareway *
La contraseña más usada es: "aquelqueantelavozespañaNOgriteunviva-NIeshombreNIesespañol".
0 K 13
rojo_separatista #12 rojo_separatista
También sería interesante saber de dónde ha venido el ataque.
0 K 13
Baal #17 Baal
#12 del CNI of course
1 K 27
#24 manson2000
#12 Si es una página web, a los 30 minutos ya lo saben porque el log del servidor marca la ip de origen de cada petición.
0 K 6
rojo_separatista #35 rojo_separatista
#24, pero seguramente hayan utilizado un proxy.
0 K 13
#39 manson2000
#35 Se suelen utilizar PCs zombies. Pero si, si han sido un poco hábiles se camuflan bien. El log les podrá dar pautas. Como el rastro acabe en China o Rusia, les va a dar igual porque no van a mover un dedo alli.
1 K 23
Buc #32 Buc
#12 Anda que si viniese de "juankers" chinos o rusos se te iba a caer el mundo encima... :troll:
0 K 8
#44 heteropatriarca
#12 Espanya ens hackea...
2 K 24
Yonny #55 Yonny *
#12

Yo no llamaría ataque a un sql inyection ... un ataque es otra cosa.
0 K 7
#91 tpm1
#12 Dice la leyenda que si lees la noticia tus dudas quedarán resueltas.
0 K 8
#20 Mschumacher
Sqli en 2020... eso tiene que llevar ahí siglos, y raro es que no lo hayan explotado... es lo más sencillo del mundo y lo que prueban todos los script kiddies
0 K 10
Natxelas #89 Natxelas
La contraseña más frecuente fué: puchi1234
0 K 9
RazorCrest #40 RazorCrest
A cualquier intervención de las cloacas del estado se le llama fallo de seguridad.
0 K 8
Yonny #58 Yonny
#40

Hasta mi sobrino de 12 años sabe hacer un sql inyection... espero que las cloacas sean algo más sofisticadas que eso
1 K 24
menéesemele #82 menéesemele
Los dinerales que pagamos por la infraestructura tecnológica en Europa, para que al final lo acabe haciendo todo el becario recién salido de la universidad.
0 K 7
#88 --481600-- *
La Nasa Catalana xD xD xD.
0 K 7
#93 futsuu
Una buena oportunidad para venderles el servicio de escaneo de seguridad.
0 K 7
#87 Fiso
Hay que ser cutre para que te hagan un ataque por SQL Injection :palm:
0 K 6
«12
comentarios cerrados

menéame