iDental niega que los hackers accedieran a su pasarela de pago

Hemos comenzado la semana con una noticia que ha despertado mucho interés, el ataque por parte del grupo hacktivista La 9 de Anonymous a la infraestructura TIC del grupo iDental, una información que el propio grupo ha hecho pública en Internet, a través de su perfil de Tumblr. Según afirman, estos últimos días se han dedicado a realizar un ataque a la empresa de salud dental. Unos ataques que, según informan, han sido exitosos, pues el grupo habría logrado cancelar parte de las deudas de sus clientes, hasta un total de alrededor de 25.000 euros (en declaraciones del grupo a El Confidencial), a base de operaciones de 250 euros cada una.

Para llevar a cabo el ataque, habrían logrado acceder al sistema de gestión de su pasarela de pagos con el Banco de Sabadell, y aunque La 9 todavía no ha revelado los aspectos técnicos del ataque, sí que hace especial mención de la supuesta laxitud en las políticas de seguridad de los administradores. Y es que uno de los ejemplos que indican en su publicación es que detectaron que al menos una de las cuentas de administración, y con acceso a la pasarela de pago, tenía como contraseña asociada «123456». Tal es el grado de inseguridad que tenía la plataforma, según las hackers, que el trabajo ha sido llevado a cabo por la miembro más inexperta del equipo. Además, complementan su publicación con varias capturas de pantalla del sistema atacado, en las que presuntamente se muestran tanto información sobre la base de datos de clientes (algo más de medio millón de personas), como imágenes de la pasarela de pago empleada por iDental para todas las operaciones de pago con tarjeta.

Puestos en contacto con iDental, a quienes hemos consultado sobre la veracidad de dicho ataque, nos confirman que éste, efectivamente, se produjo anteayer (domingo), si bien desmienten que se haya producido acceso alguno a la pasarela de pago. Ésta es la respuesta que hemos obtenido por parte de un portavoz de la compañía:

«Durante el día de ayer, hemos sido objeto de un acceso no autorizado a nivel de usuario con permisos muy restringidos a nuestra web, en ningún caso ha habido acceso directo a la pasarela de pago ni a nuestro sistemas que son entornos cifrados y seguros. No ha habido acceso posible a ningún dato económico de carácter personal. El sistema detectó un  acceso no autorizado y bloqueó automáticamente cualquier acción.

Queremos recalcar que no ha  habido acceso a nuestros sistemas internos.

No ha habido consecuencias del ataque puesto que el sistema detectó el uso no autorizado bloqueando cualquier intento no legítimo.

En este momento nuestros sistemas se encuentran restablecidos y se ha reforzado la seguridad de acceso a la web.

Así pues, y ante las discrepancias entre ambas versiones, habrá que permanecer atentos, principalmente a la página de La 9, a la espera de que divulguen los aspectos técnicos del ataque, así como alguna otra prueba más concluyente, y que sirva para demostrar si, como afirma iDental, se trató solo de un acceso con una cuenta restringida o, por contra, los hackers sí que han conseguido un acceso con privilegios a sus sistemas y, por lo tanto, han podido llevar a cabo el ataque tal y como informan.