Exposición masiva de datos en WOM Colombia: 91.000 documentos privados accesibles públicamente

Desde diciembre del año pasado el analista de cibersguridad @chum1ng0 ha enviado múltiples correos electrónicos a funcionarios de la empresa WOM Colombia para advertirles que uno de los servicios de almacenamiento de sus datos se encuentra expuesto públicamente.

La información y advertencia que ha enviado continuamente no sería relevante si no se tratara de 91.000 documentos en PDF que a su vez contienen miles de datos privado, semiprivados y públicos de cientos o quizás miles de personas. Información que usa la organización en sus labores diarias.

Para advertir la falla de seguridad el analista se tomó el trabajo de escribirle a Ramiro Lafarga quien era el Ceo de la organización, así mismo a Diego Linares, que según el perfil de Linkedin, es el actual HR Operations Manager de la empresa y a Christian Rodríguez, Network and IT planning director de WOM.  Nunca respondieron y el acceso público sigue activo a pesar de los mensajes.

Para verificar el envío de correos, el analista nos mostró el encabezado de uno de los mensajes que tenía como asunto “Urgente: Divulgación Responsable, se expone un Azure Storage Blob con datos de clientes Wom Colombia”, enviado el 5 de diciembre de 2024 a las 17:10.

Cansado de esperar una respuesta y al ver que no existía reacción alguna por parte de la organización el analista decidió compartir la URL expuesta con MuchoHacker.lol. Verificamos su existencia y se comprobó que cientos de datos de clientes de WOM están accesibles para cualquier persona que logre identificar la url.

Nos abstenemos de publicar la URL por obvias razones de seguridad.

Desde fotos hasta direcciones

Es imposible determinar la cantidad exacta de datos privados o semiprivados expuestos. Se puede saber que alguna información expuesta pertenece a datos creados por WOM durante el 2024.

Para dar una idea de la gravedad de los datos expuestos se encontró el formato escaneado de quejas y reclamos de una mujer de apellido Tovar. Su dirección, teléfono, número de cédula, referencia de pago, valor total, tipo de teléfono y hasta la foto de su cédula por las dos caras donde se expone su rostro y datos.

En otra URL, se encontró un archivo llamado 0013moto g20 2.jpeg donde la compañía guardó una fotografía de un teléfono con la exposición visible del Imei 1, Imei2 y el número de serie de un teléfono. Datos que servirían para varias actividades delictivas entre ellas la clonación del IMEI.

Y así sucesivamente se encuentran todo tipo de datos y documentos que usa la organización como parte de sus actividades.

Recibos de pago, datos de servicios técnicos, recibos, fotografías de equipos, guías de envíos entre otros datos están expuestos.

Autoridades inactivas

Durante el último año MuchoHacker.lol ha documentado al menos 10 casos donde al menos se viola algún aparte de la Ley 1581 o Ley de Protección de Datos por parte de grandes organizaciones, especialmente en el sector telecomunicaciones.

A pesar de que las denuncias periodísticas se hacen basados en la evidencia recolectada y con hechos verificables las autoridades colombianas encargadas de aplicar la Ley claramente no se interesan en este trabajo periodístico.

Dado lo anterior, y la gravedad de la exposición de datos de Wom en este caso vamos a realizar una actividad por fuera de lo común.  

Una vez publicado este artículo se realizará un hilo en el perfil en X de @hyperconectado donde le diremos públicamente a la Superintendencia de Industria y Comercio y su directora que se le enviará por dm la URL que da acceso a los datos de la empresa.

Esa URL es la evidencia real, concreta y verificable de las malas prácticas de seguridad de la organización. Quedará en manos de la entidad si hace algo para salvaguardar los datos de clientes de WOM en todo el país.

Una empresa sin dolientes

Wom tiene 8 millones de clientes y está en proceso de reorganización. La empresa fracasó y el gobierno tuvo que salir a su rescate en cabeza del exministro de TIC, Mauricio Lizcano, quien permitió que las deudas de la organización con el Estado tuvieran facilidades que no se ofrecen en otros sectores económicos.

La empresa cambió de dueños y ahora es parte de un grupo llamado UR Holdings, según El Tiempo, empresarios e inversionistas de Estados Unidos y el Reino Unido.

No es la primera vez que una empresa en reorganización tiene problemas con la seguridad de su infraestructura. El pasado 21 de agosto reportamos una actividad similar con la empresa Virgin Mobile.

El acceso a la información privada de clientes de WOM es una oportunidad para desplegar actividades delictivas con la información accesible. Los clientes de esta empresa deben tomar dobles medidas de seguridad.