Un hacker anónimo ha señalado una vulnerabilidad de tipo inyección SQL en los sistemas de TI del bufete panameño de abogados Mossack Fonseca, que indicaría la baja calidad en materia de seguridad en tecnologías de la información de la empresa, que probablemente contribuyó a la mayor violación de los datos.

El investigador “underground”, que usa Twitter como 1X0123, público una captura de pantalla del micro-blog para demostrar la falla, que parece estar en el CMS de la firma.

La semana pasada se generó un escándalo debido a un importante ataque cibernético que expuso 11.5 millones de documentos confidenciales que pertenecen a Mossack Fonseca, relacionados con dudosos asuntos fiscales en el extranjero de muchos líderes mundiales.

Se especuló que la empresa pudo haber sido objeto de fuga de información, antes de que saliera y admitiera que el problema fue sin duda causado por una intrusión externa en su servidor de correo electrónico.

Un análisis realizado por Wired afirmó que el portal de clientes de Mossack Fonseca ejecuta un CMS de código abierto de Drupal, pero que la versión utilizada por la firma contenía 25 vulnerabilidades, ya que no había sido actualizado desde agosto de 2013.

"Todos los grandes bufetes de abogados tienen grandes cantidades de información sensible y conocen el riesgo planteado por cibercriminales, por lo que es inaceptable que, a pesar de la violación inicial, la compañía no ha asegurado plenamente sus sistemas y continúa en riesgo con un vector de ataque tan conocido y evitable", dijo Paul Farrington, arquitecto senior en Veracode.

"Después de numerosas violaciones de alto perfil debido a las inyecciones SQL en los últimos años, durante más de una década esta vulnerabilidad se ha encontrado con regularidad en el Top 10 de OWASP (proyecto ampliamente aceptado para la seguridad de aplicaciones web), es preocupante el número de empresas cuyo enfoque apático sobre las aplicaciones les lleva a brechas de seguridad por usar este exploit".

El investigador que ha publicado los detalles de la falla de inyección SQL en Twitter parece haber estado detrás de una serie de revelaciones durante las últimas semanas, incluyendo el incidente en el LA Times.