Es posible que miles de registros de pasaportes irlandeses vinculados a clubes de cannabis en España hayan quedado accesibles al público en línea tras un grave fallo de seguridad que afectó a casi un millón de miembros.
Se cree que en la base de datos expuesta se han incluido hasta 12.000 pasaportes irlandeses, junto con aproximadamente 30.000 documentos pertenecientes a ciudadanos estadounidenses.
Los registros fueron recopilados por clubes privados de cannabis que operan en toda España, donde los miembros deben registrarse y proporcionar una prueba de identidad y edad antes de ser admitidos.
A diferencia de las cafeterías o dispensarios comerciales al estilo de Ámsterdam, los clubes de cannabis españoles generalmente funcionan como asociaciones privadas exclusivas para miembros. Las estimaciones sugieren que hay entre 1.000 y 2.000 establecimientos de este tipo en todo el país.
Los clubes utilizan software especializado para gestionar las membresías, verificar la identificación y registrar las transacciones. El personal de recepción puede cargar pasaportes y otros documentos de identidad en un sistema basado en la nube para su verificación.
La plataforma afectada era operada por Cannabis Club Systems, también conocida como Nefos Solutions, una empresa de software registrada en Irlanda con dirección en Dublín.
Es posible que las deficiencias de seguridad hayan dejado aproximadamente 985.000 pasaportes y documentos de identidad fotográficos accesibles a través de direcciones públicas de Internet durante mayo y junio, y posiblemente durante más tiempo.
Según se informa, el problema surgió después de que se encontrara una clave digital secreta utilizada para procesar pagos dentro de una aplicación proporcionada a los clubes de cannabis. Se dice que un investigador de seguridad descubrió que la clave podría usarse para acceder a documentos almacenados en direcciones de acceso público sin necesidad de contraseña.
La Comisión Irlandesa de Protección de Datos ha confirmado que está colaborando con la empresa. Sin embargo, el regulador no ha llegado a ninguna conclusión sobre irregularidades.
Cannabis Club Systems suspendió temporalmente partes de su plataforma después de ser alertado sobre problemas de seguridad. La compañía dijo que las vulnerabilidades identificadas habían sido reparadas y que los puntos de acceso previamente expuestos ya no estaban disponibles para el público.
También dijo que no había encontrado evidencia de que nadie más que el investigador de seguridad que informó el problema hubiera distribuido públicamente o accedido a la información personal. Continuó en curso una investigación para determinar si hubo algún acceso no autorizado anteriormente.
Los especialistas en ciberseguridad han advertido que los pasaportes expuestos podrían proporcionar a los delincuentes información valiosa para el robo de identidad, el fraude financiero y las estafas selectivas.
La conexión entre los titulares de pasaportes individuales y los clubes de cannabis podría generar riesgos adicionales. Algunas víctimas podrían enfrentarse a un intento de chantaje, especialmente si el consumo de cannabis es ilegal o está muy restringido en sus países de origen.
La información podría ser aún más sensible cuando la membresía del club se relaciona con el uso de cannabis medicinal. Según la legislación europea de protección de datos, la información que revela la salud o las circunstancias médicas de un individuo recibe un nivel de protección particularmente alto.
Las empresas que recopilan o procesan información personal deben incorporar protecciones de privacidad y seguridad en sus sistemas desde el principio. La responsabilidad puede extenderse tanto al proveedor de software como a la organización que utiliza la plataforma.
Las infracciones graves del Reglamento general de protección de datos de la UE pueden dar lugar a sanciones de hasta 20 millones de euros o el cuatro por ciento de la facturación anual mundial de una empresa, lo que sea mayor.
Los expertos en seguridad también han advertido que incrustar credenciales de acceso dentro de una aplicación es una mala práctica porque cualquier persona capaz de examinar el software puede localizarlas y utilizarlas indebidamente.
Cannabis Club Systems dijo que proteger la información confidencial seguía siendo una de sus principales prioridades y que continuaba fortaleciendo sus sistemas de seguridad y procedimientos de gobernanza.
Aún no se ha establecido el número total de personas afectadas, ni si los delincuentes accedieron o descargaron alguno de los registros expuestos.