La Oficina del Comisionado de Información (ICO, por sus siglas en inglés), organismo británico dependiente del Ministerio de Justicia del Reino Unido, ha emitido una advertencia a los negocios para evitar ataques de inyección SQL, utilizados por crackers para infiltrarse en sus sitios web.

Esta advertencia fue emitida luego de que la ICO multara, por 7 mil 500 libras esterlinas, a la agencia de viajes Worldwide Limited, debido a que dicha compañía sufrió un ataque de Inyección SQL con el que los criminales obtuvieron datos de tarjetas de crédito de 3 mil 814 clientes.

El reporte de ICO explica que las deficiencias en el sitio web de la compañía facilitaron la intrusión a los crackers y que la compañía no ha proporcionado capacitación adecuada en seguridad informática a su personal.

"Hubo una falta relevante de capacitación en cuestiones de seguridad para los desarrolladores, además de insuficiente supervisión de su trabajo", indicaba el reporte.

ICO además criticó el hecho de que la falla existía en el sitio web desde mayo de 2010 pero fue descubierta en una actualización de rutina en junio de 2013. Además, dada la seriedad del asunto, la multa habría sido de 75 mil libras esterlinas, pero esto habría causado dificultades financieras a la compañía.

Este caso se suma a otros dos ataques de inyección SQL en contra del sitio web de Racing Post, dedicado a carreras de caballos y de la agencia de viajes Think W3, con multas por 150 mil libras esterlinas.

El gerente de tecnología de ICO, Simon Rice, dijo que la industria de TI podría sorprenderse de encontrar ataques de inyección SQL, pero que las compañías deben despertar y actuar en consecuencia.

"Los ataques de inyección SQL son prevenibles pero las organizaciones deben gastar el tiempo y esfuerzo necesarios para asegurar que sus sitios web no son vulnerables", indicó Rice.

"Las organizaciones deben actuar ahora para evitar uno de los más antiguos trucos de los crackers. Si no cuentas con personal que tenga experiencia en el tema, encuentra a alguien que la tenga, de otra manera podrías ser la siguiente empresa con una multa de ICO y con daño de reputación como resultado de una seria fuga de datos".