Hackean la Oficina de Patentes de EE. UU. y acceden a aplicaciones de marcas registradas

La Oficina de Patentes y Marcas de Estados Unidos (USPTO) informó a más de 60,000 solicitantes de marcas que dejó por error sus direcciones físicas expuestas al público de Internet durante tres años.

A API con fugas fue el culpable, según informesy dejó expuestos conjuntos de datos, incluidas las direcciones recopiladas de los solicitantes, que son obligatorias cuando solicitan una marca ante la USPTO.

"Cuando descubrimos el problema, bloqueamos el acceso a todas las API no críticas de la USPTO y eliminamos los productos de datos masivos afectados hasta que se pudiera implementar una solución permanente", decía el aviso enviado a los declarantes afectados y compartido con TechCrunch.

Un portavoz añadió que la filtración afectó a alrededor del 3% de las solicitudes presentadas durante el período de tres años.

"Lamentablemente, no pudimos localizar algunos de los puntos de salida más técnicos y enmascarar adecuadamente los datos exportados desde esos puntos”. añadió un portavoz de la USPTO. “Nos disculpamos por nuestro error y haremos todo lo posible para evitar que un incidente como este vuelva a ocurrir, al mismo tiempo que preservamos nuestra capacidad de tomar medidas enérgicas contra la cantidad histórica de fraude en las presentaciones que estamos viendo originarse en el extranjero”.

Jason Kent, hacker residente en Cequence Security, dijo en un comunicado proporcionado a Dark Reading que este tipo de Mala configuración de API Esto es precisamente lo que los ciberatacantes buscan en Internet.

"Los puntos de salida más técnicos son los que los atacantes tienden a preferir", dijo Kent. “En el lenguaje de seguridad de API de 2023, tenían API9:2023 Gestión de inventario incorrecta que permitía a un atacante encontrar el punto final y saber que no estaba autenticado. API2:2023 Autenticación de usuario rota que podría haber permitido a un atacante automatizado extraer todos los datos afectados. datos en un período de tiempo muy corto, API6:2023 Acceso sin restricciones a flujos comerciales confidenciales ".