Exposición de datos de Indian Railways de 2019
La exposición de datos de Indian Railways de 2019 afectó a información que quedó accesible en una base de datos de Google Firebase sin protección, vinculada por un registro verificado de la filtración al nombre Indian Rail y al dominio indianrails.in.
Tipos de datos expuestos
3- Direcciones de correo electrónico
- Contraseñas
- Nombres de usuario
Acerca de esta brecha de datos
El índice indica 583 377 direcciones de correo electrónico únicas. El informe de la investigación documenta aproximadamente 247 MB de datos con 2 357 684 filas de direcciones de correo electrónico, nombres de usuario y contraseñas en texto plano. Son unidades diferentes: no se suman y el número de filas no se presenta como un total de personas distintas.
El artículo de investigación describe la base de datos de Firebase mal configurada, los campos de datos y el proceso de divulgación sin nombrar a la organización afectada. La vinculación con Indian Railways procede del registro verificado de la filtración que enlaza a ese artículo, no del artículo por sí solo. Esta distinción sobre la atribución es importante: el texto de investigación anonimizado no debe interpretarse como una declaración de la propia organización que la identifique de forma independiente.
¿Qué permite establecer la cronología?
Según la información divulgada, los periodistas comenzaron a intentar contactar con la organización el 28 de octubre de 2019; un servicio de asistencia para la divulgación recibió el caso el 29 de noviembre, logró contactar con el desarrollador de la aplicación el 30 de noviembre e informó de la corrección del problema el 7 de enero de 2020. La fecha del 28 de octubre que figura en el registro marca el inicio de los intentos de contacto, no una fecha demostrada de apertura de la base de datos o de descarga no autorizada. Las fuentes públicas no permiten determinar el periodo inicial de exposición ni si alguien hizo un uso indebido de los datos.
¿Qué información había y qué pueden hacer los usuarios?
Los campos confirmados son direcciones de correo electrónico, nombres de usuario y contraseñas en texto plano. Las fuentes no mencionan tarjetas de pago, cuentas bancarias, documentos de identificación oficiales ni información de salud, y tampoco establecen que cada fila correspondiera a una persona distinta. Si la contraseña expuesta, o una similar, sigue activa en otra cuenta, sustitúyala de inmediato por una contraseña única, active la autenticación multifactor y revise las sesiones que no reconozca. Que una dirección de correo electrónico coincida no permite determinar un trayecto ferroviario o un billete concreto de una persona ni demuestra que una cuenta actual esté comprometida hoy.
Método de verificación y revisión editorial
LeakData compara el nombre del incidente, la fecha, la cantidad de registros afectados y los tipos de datos expuestos con fuentes accesibles. Los campos no verificados no se presentan como hechos, y los registros se actualizan cuando se dispone de nuevas pruebas.
Notificar errores u omisiones en la información
