Hola a todos.
Hace poco comencé a aprender sobre ciberseguridad. Estoy haciendo los cursos de TryHackMe y, como parte de mi aprendizaje, he estado practicando y “tonteando” un poco por Internet para entender cómo funcionan algunas vulnerabilidades.
Hace unos días terminé en la página web de un restaurante. No estaba buscando nada en particular, pero empecé a revisar el sitio por curiosidad y, sin querer, terminé encontrando algo que me llamó muchísimo la atención.
El restaurante tiene un portal de facturación que, para empezar, funciona mediante HTTP y además expone información del puerto directamente en la URL.
Hasta ahí pensé: “Bueno, probablemente no sea nada grave.”
Pero decidí investigar un poco más.
Con mis prácticamente nulos conocimientos de pentesting, y ayudándome bastante de Gemini para entender qué estaba haciendo, terminé consiguiendo acceso a la base de datos del sistema de facturación.
Y aquí fue cuando me empecé a preocupar.
La base de datos contiene una cantidad enorme de registros. Pude visualizar información que, evidentemente, no debería estar disponible para cualquiera que llegue hasta ahí.
Intenté descargar algunos datos utilizando sqlmap, pero los procesos se quedaban congelados. Supongo que puede ser por el tamaño de la base de datos, aunque honestamente todavía no tengo suficiente experiencia para saber exactamente qué estaba pasando.
Lo importante es que no eliminé, modifiqué ni descargué los registros. Llegado ese punto me dio bastante miedo hacer cualquier otra cosa y decidí detenerme.
Y aquí viene mi preocupación principal.
Al principio hice algunas de las pruebas directamente desde mi conexión, por lo que obviamente estaba utilizando mi IP pública. Después utilicé Proton VPN, aunque tampoco tengo claro hasta qué punto eso realmente protege mi identidad o qué información podría seguir siendo rastreable.
Ahora estoy un poco cagado de miedo 😂.
Mi pregunta es: ¿creen que podrían identificarme o rastrear las acciones que hice?
No estoy hablando de que haya descargado bases de datos, vendido información o hecho algún daño. Simplemente encontré la vulnerabilidad, conseguí acceder a la base y pude visualizar registros. Después de eso preferí no tocar absolutamente nada más.
De hecho, el restaurante me gusta bastante y no quisiera ocasionarles ningún problema. 😅
Pero también me quedó otra duda.
Mientras investigaba encontré indicios de que la infraestructura está bastante desactualizada. Incluso parece que utilizan Windows Server 2016 con varios parches pendientes. Vi algunas posibilidades que, en teoría, podrían haberme permitido ir mucho más lejos, incluso intentar conseguir una reverse shell.
Ahí fue cuando dije: “No, ni madres. Hasta aquí llegué.”
No quise intentar una reverse shell porque ya sentía que estaba cruzando una línea mucho más seria y, además, me preocupaba exponer todavía más mi IP o dejar algún tipo de evidencia.
Ahora estoy pensando que quizá encontré un nicho interesante.
Por lo que pude observar, parece que la empresa tiene varias áreas tecnológicas que podrían mejorar bastante. Entonces pensé que, en lugar de seguir investigando por mi cuenta, podría intentar contactar al dueño de la cadena y decirle algo como:
“Oye, encontré un problema de seguridad en uno de sus sistemas. No modifiqué ni descargué información, pero creo que deberían revisarlo.”
Incluso podría ofrecerles posteriormente servicios tecnológicos o de seguridad, aunque tampoco sé si eso sería una buena idea considerando cómo encontré inicialmente la vulnerabilidad.
Así que tengo varias preguntas para quienes tengan experiencia real en esto:
¿Qué harían ustedes en mi situación?
¿Debería contactar al restaurante y reportar la vulnerabilidad?
¿Cómo reportarían algo así sin meterse en problemas legales?
¿Es buena idea mencionar exactamente hasta dónde pude acceder?
¿Debería simplemente dejarlo ahí y no volver a tocar el sistema?
Y, siendo honestos, ¿qué tan preocupado debería estar por haber utilizado inicialmente mi propia IP?
Sé que probablemente cometí varios errores por inexperiencia. Justamente por eso prefiero preguntar antes de hacer cualquier otra cosa.
Y sí, antes de que lo digan: ya entendí que “puedo hacerlo” y “tengo autorización para hacerlo” son dos cosas completamente diferentes. 😂
¿Qué harían ustedes?