Noticias Profesionales

Seguridad de la Información y Protección de Datos

Un error de programación de la página de comercio electrónico Tower Records deja ver los datos de millones de usuarios de una tienda on-line

Datos como nombre y apellidos, dirección física y dirección de e-mail quedaban a la vista mediante una simple modificación de una URL

Un error de programación en una de las páginas asp del comercio electrónico Tower Records dejaba los datos de millones de usuarios expuestos ante cualquier otro usuario. Un fallo de programación en la tienda on-line Tower Records (http://www.towerrecords.com/) permitía de una forma sencilla el acceso de cualquier usuario a los datos de otros usuarios. Datos como nombre y apellidos, dirección física y dirección de e-mail, teléfono y los pedidos realizados quedaban a la vista mediante una simple modificación de una URL. El problema permitía acceder a más de tres millones de registros de este tipo.

La robustez de un sitio web no depende en exclusiva de instalar correctamente el servidor y corregir las continuas vulnerabilidades que aparecen para su sistema operativo y los servicios instalados. Muchos ataques e intrusiones a servidores Internet se realizan a través de las aplicaciones propietarias que soportan las soluciones finales: páginas web/ASP, scripts, acceso a base de datos, componentes propietarios, etc.

Junto a los administradores, los desarrolladores y webmasters son responsables directos de la seguridad del sitio web. Recientemente informamos sobre la publicación de una guía de referencia para facilitar el desarrollo de aplicaciones web. Una vez más se evidencia la necesidad de mejorar la calidad en la programación de las páginas web. El fallo, que se encontraba en la página "orderStatus.asp", fue corregido a las pocas horas de tener conocimiento del problema, según comunicaron los responsables del sitio web.

Más información:
www.towerrrecords.com

Noticias relacionadas:

* Funcionarios del INEM de Zaragoza revelaron datos privados de 17.000 personas (12.12)
* Dos años y medio de cárcel a un funcionario del Instituto Nacional de la Seguridad Social en Murcia que reveló información secreta (03.12)
* Investigan la publicación de listas confidenciales robadas al "site" de la Generalitat de Cataluña (31.10)
* Protección de Datos asegura que sólo la oposición expresa evitará la inclusión en el censo publicitario (03.10)
* Éxito del empleo de la inteligencia artificial para luchar contra la invasión del correo basura (12.09)
* La UE refuerza la lucha contra la delincuencia virtual y los contenidos ilícitos en Internet (11.09)
* Las empresas consideran faltas graves el excesivo uso del e-mail durante las horas de trabajo (11.09)
* La Universidad de Oviedo organiza la 'VII Reunión Española sobre Criptología y Seguridad de la Información' (29.08)
* El Tribunal Supremo confirma la multa a un casino de Valencia por usar datos de clientes sin autorización (27.08)

Fuente: www.hispasec.com
(12.12.02)

 

© BELT.ES  Copyright. Belt Ibérica, S.A. Madrid - 2004. belt@belt.es