Joomla! es un sistema de gestión de contenido (Content management system - CMS) de código abierto, programado y desarrollado en lenguaje PHP, bajo licencia pública general GNU (GPL), es utilizado para desarrollar sitios web dinámicos e interactivos de forma sencilla por medio de un panel de administrativo.
La semana pasada un miembro del equipo encargado de los directorios de recursos de Joomba! (JRD), subió una copia de seguridad completa (full backup) del sitio web (resources.joomla.org) en un servicio de almacenamiento llamado “Amazon Web Services S3”, perteneciente a una tercera compañía. El miembro fue retirado de su función, debido a que ex-miembro del equipo JRD, el cual desempeñaba su labor como uno de los líderes del equipo, era el dueño de la compañía poseedora del servicio al que se subió el full backup.
El backup contenía detalles sobre aproximadamente 2.700 usuarios registrados en el sitio web de JRD. Que utilizan el portal para promocionar sus servicios de desarrollo web y de sistemas. Como:
- Nombres completos
- Direcciones de trabajo
- Direcciones de Correos
- Números telefónicos
- URLs de la Organización a las que pertenecen los usuarios
- Labores sociales de las compañías
- Contraseñas encriptadas (Hashed)
- Direcciones IP
- Preferencias de noticias por suscripción
En la notificación del incidente de seguridad de datos establece que la mayoría de los datos estaban públicos, debido a que era un directorio público, pero de igual manera los datos privados (listados no publicados, no aprobados, tickets) fueron expuestos en el incidente.
Actualmente el incidente está en investigación por parte del equipo, para esclarecer si alguien encontró y descargó los datos del servidor S3 de la compañía perteneciente al ex-miembro del JRD de Joomla.
El equipo de JRD de Joomla quiso destacar que, si incluso ellos no poseen evidencia respecto al acceso de los datos, recomiendan a todas aquellas personas tengan una cuenta en el directorio de recursos de Joomla (JRD) y usan las mismas credenciales (correo y contraseña) en otros servicios, deben cambiar inmediatamente sus contraseñas por razones de seguridad, así como finalizaron la notificación del incidente con una disculpa, comprometiéndose a mejorar su infraestructura.
Fuente:
COMENTARIOS