Ataque y Filtración masiva del SIMIT: prepárese para el próximo ataque digital

Habrían robado y exponen información personal y financiera de ciudadanos.

Una base de datos del Sistema Integrado de Información sobre Multas y Sanciones por Infracciones de Tránsito (SIMIT) de Colombia, que contiene 1.2 GB de información sensible, está siendo ofrecida a la venta en foros clandestinos.

La filtración incluiría identificaciones, nombres, correos electrónicos, cuentas bancarias y contraseñas, según el anuncio de venta distribuido por los actores detrás del ataque.

Evidencia recopilada muestra capturas de pantalla de la base de datos vulnerada, donde se confirma la estructura de una tabla que almacena datos personales de ciudadanos. Los campos visibles incluyen número de identificación, nombres completos, fechas de nacimiento, direcciones de residencia, números de teléfono y correos electrónicos.

La base de datos vulnerada se identificó como MariaDB 10.1.38.

La exposición de este tipo de información representa un riesgo significativo para la seguridad de millones de colombianos, facilitando delitos como la suplantación de identidad y el fraude.

La filtración también plantea serias preocupaciones sobre la seguridad de los sistemas de información estatales y la capacidad de las entidades para salvaguardar los datos de los ciudadanos.

Nos comunicamos con Simit para saber sobre esta situación particular y hasta el momento, no se ha emitido un comunicado oficial por parte de las autoridades competentes sobre este incidente de ciberseguridad.

Ya en varias oportunidades hemos reportado los ataques que se están llevando a cabo. En su momento tuvimos una charla informal con Fedemunicipios (encargado legal del SIMIT) quienes nos explicaron que llevan meses luchando con diferentes tipos de ataques. En su momento nos contaron que han logrado detener un gran volumen de urls maliciosas pero pese a los esfuerzos institucionales la actividad criminal no cesa.

¿Recibiste un mensaje con 50% de descuento en multas? Cuidado es una estafa

Igualmente nos indicaron que una de las razones de los ataques es producto del caracter público de los datos que maneja la institución. Al ser un dato de acceso público los atacantes han encontrado allí una vulnerabilidad para explotar.

A tal punto ha llegado la situación que la entidad ha tenido que crear campañas publicitarias para advertir la situación. Una de ellas sale en el canal deportivo Win Sports.

Sin embargo, la evidencia de esta venta no solo muestra explotación del dato público sino vulneración de bases de datos que, en teoría, deberían ser responsabilidad de Fedemunicipios.

Ante la situación no es dificil prever que, si el atacante logra vender lo que dice tener en su poder, vendrá una seguidilla de ataques con información real del Simit.

El atacante acompañó su anuncio con evidencias del ataque.

El primer archivo que compartió el atacante contiene una lista de municipios colombianos, principalmente de los departamentos de Córdoba y Valle del Cauca, junto con sus direcciones de correo electrónico oficiales.

En concreto, el archivo muestra a qué personas o departamentos se debe contactar en cada municipio para temas relacionados con el sistema de tránsito (SIMIT), incluyendo tanto correos institucionales como cuentas de Gmail y Hotmail. Es decir, datos de los que serían funcionarios del SIMIT.

Además, revela que una empresa llamada SESDii aparece repetidamente como un contacto central para muchos de estos municipios, lo que la señala como un actor clave en la operación de este sistema a nivel nacional.

El segundo archivo contiene el detalle de transacciones financieras reales del sistema de multas de tránsito. Son como los comprobantes de pago de las multas, que muestran información sensible como el monto exacto que pagó cada persona (con valores que superan el medio millón de pesos), su número de identificación, la fecha de la transacción (4 de junio de 2024) y los bancos a través de los cuales se realizó el pago, como Banco AV Villas y Davivienda. En esencia, este archivo no solo expone que hubo una filtración, sino que revela la actividad financiera privada de los ciudadanos que pagaron una multa.