[Actualizado x2] Anuncio de servicio público: si alguna vez ha comprado algo de SlickWraps, toda su información personal se ha visto comprometida

Envolturas resbaladizas

SlickWraps, uno de los fabricantes de máscaras para dispositivos más conocidos, parece tener un gran problema de seguridad entre manos. Un investigador de seguridad con el identificador de Twitter Lynx0x00 logró abrirse camino en los sistemas de SlickWraps y comprometer aparentemente todo. Si es cliente de SlickWraps, es hora de bloquear su crédito y cambiar las contraseñas.

Actualización, 21/2: Poco después de publicar esta publicación, SlickWraps emitió una declaración oficial a través de su cuenta de Twitter:

https://twitter.com/SlickWraps/status/1230929725192839170?s=20

Actualización x2, 21/2: La publicación original de Medium que detalla esta infracción ya no está disponible. Puede encontrar una versión archivada aquí.

El informe original se deja intacto a continuación.

Como explicó en una publicación de Medium, Lynx0x00 comenzó a buscar SlickWraps por primera vez debido a las quejas de servicio al cliente en Twitter. Pero la verdadera historia comienza cuando vio un reclamo de que un pirata informático violó las cuentas de ZenDesk de SlickWraps. Y así empezaron las pruebas.

No pasó mucho tiempo antes de que tuviera acceso completo a las bases de datos de los clientes. El área de personalización de carcasas de teléfonos de la empresa en su sitio web contenía una vulnerabilidad que permitía a cualquier persona con el conjunto adecuado de herramientas cargar cualquier archivo en cualquier ubicación en el directorio más alto de su servidor. A partir de ahí, todo lo demás cayó como fichas de dominó.

Lynx dice que obtuvo acceso a las bases de datos de la empresa, Slack, registros de transacciones para sus pasarelas de pago e incluso control total del sistema de gestión de contenido de la empresa.

Eventualmente, trató de revelar la vulnerabilidad de SlickWraps, tanto con medios convencionales (como un correo electrónico bien redactado) como con medios no convencionales (como un tuit vago con seguimientos menos vagos). Inicialmente, sus intentos de contacto quedaron sin respuesta y la empresa incluso lo bloqueó en Twitter.

Eventualmente, logró ponerse en contacto con el equipo de redes sociales de SlickWraps, pero esa conversación salió mal y la compañía lo bloqueó nuevamente. Eso llevó a Lynx a publicar sus hallazgos en Medium. Por su parte, SlickWrap no ha reconocido las afirmaciones de Lynx y su cuenta de Twitter está en silencio. Actualizaremos esta publicación si la compañía publica una declaración. (Editar: puede leer la declaración de SlickWrap arriba).

Desafortunadamente, tenemos todas las razones para creer que alguien tiene acceso a las cuentas y servicios de SlickWraps. Los clientes están comenzando a publicar correos electrónicos desde la cuenta de correo electrónico oficial de SlickWraps, pero escritos por otra persona. Lynx ha declarado que no escribió el correo electrónico.

Si alguna vez compró algo de SlickWraps, es posible que desee bloquear su crédito y comunicarse con las compañías de su tarjeta de crédito.

Es posible que también desee restablecer las contraseñas, y si reutiliza la misma contraseña para muchos sitios, debe detenerse. Sugerimos usar un administrador de contraseñas para crear contraseñas únicas para cada sitio web.

a través de Lynx0x00 en medio