Blog de nerion

Un fallo de seguridad en un servicio online del Servicio Público de Empleo Estatal (SPEE) permitía acceder a datos privados de varios millones de ciudadanos españoles. Para explotarlo sólo era necesario conocer el número de DNI de la víctima.

El error no fue corregido a pesar de ser puesto de manifiesto en sede judicial. Tuvo que intervenir la Agencia Española de Protección de Datos para que, tras más de un año, subsanaran el fallo de seguridad.

El fallo de seguridad fue descubierto por Samuel Parra (webmaster de la web sobre seguridad www.samuelparra.com) de una manera relativamente sencilla: el usuario de acceso al sistema era el DNI de la persona y la contraseña era la fecha de alta en el sistema, por lo que con un programa sencillo se podría acceder a cualquier cuenta. Éste se puso en contacto con el SPEE informándoles del error.

Más información sobre esta noticia en: http://www.samuelparra.com/2010/03/07/fallo-seguridad-compromete-datos-millones-espanoles-spee/