Descubren datos personales de miles de usuarios de la empresa de mensajería FedEx en un servidor de acceso público

Los investigadores de Kromtech Security Center han descubierto cientos de miles documentos de identidad de clientes de la empresa de mensajería FedEx que estaban alojados en un servidor Amazon S3 de acceso público.

La información expuesta corresponde, por un lado, a más de 119.000 documentos de identidad -pasaportes, carnés de identidad, carnés de conducir, tarjetas de seguridad- y, por otro, nombres, direcciones y códigos postales y números de teléfono.

Según detalla el responsable de comunicación de Kromtech, Bob Diachenko, en una publicación oficial, la información pertenecía a Bongo International LLC, una empresa de servicios de mensajería adquirida por FedEx en 2014 que posteriormente operó bajo el nombre de FedEx Cross-Border International -de envíos internacionales y de eCommerce-, pero que cerró en abril de 2017.

La información personal encontrada en el servidor Amazon S3 corresponde al periodo de actividad de 2009-2012 de Bongo International LLC, que escaneó la documentación de sus clientes y los alojó de forma pública.

Afecta a usuarios de Estados Unidos, pero también de otros países de la Unión Europa, México, Canadá, Kuwait, Japón, China o Australia, entre otros muchos. "Parece que el archivo ha estado disponible con acceso público durante varios años seguidos", indica Diachenko en un comunicado remitido a ZDNet, quien añade que "se desconoce si FedEx era consciente de esta 'herencia' cuando compró Bongo International en 2014".

Diachenko explica en su publicación que la información de los clientes ya ha sido retirada. Esta gestión ha contado con la ayuda del redactor Zack Whittaker, de ZDNet, después de que Kromtech intentara contactar sin éxito con la división de FedEx responsable de los datos.