Herramienta de seguimiento de tiempo revela información sobre trabajadores remotos.
WebWork Tracker presenta problemas de almacenamiento con fugas.
Se ha descubierto que un bucket de Amazon S3 asociado a la aplicación WebWork Tracker está filtrando información sensible, poniendo en riesgo datos empresariales y credenciales. Hasta la fecha, se estima que más de 13 millones de capturas de pantalla han sido expuestas.
WebWork Tracker es un software utilizado por organizaciones para supervisar a trabajadores remotos, capturando regularmente imágenes de sus pantallas para que los empleadores puedan verificar sus actividades. Sin embargo, el bucket que contenía dichas capturas de pantalla estaba mal configurado y no contaba con el cifrado de extremo a extremo que la empresa, originaria de Armenia, asegura utilizar para proteger la información sensible.
El equipo de investigación de Cybernews identificó esta vulnerabilidad el 11 de junio y desde el 13 de agosto intentaron contactar a WebWork Tracker en varias ocasiones para notificarles sobre la filtración, pero no recibieron respuesta. Ante la falta de respuesta, Cybernews decidió informar al Equipo de Respuesta a Emergencias Informáticas (CERT).
Esta herramienta de seguimiento de trabajadores remotos es utilizada por diversas empresas de Estados Unidos, incluyendo a Deel, que también es una firma estadounidense. Además, se encontraron otras organizaciones en Austria, los Países Bajos e India que emplean este software.
La filtración de estos archivos puede haber llevado a WebWork Tracker a infringir el Reglamento General de Protección de Datos (GDPR) de la UE y la Ley de Privacidad del Consumidor de California (CCPA). Las multas por incumplimiento del GDPR pueden alcanzar los 20 millones de euros o el 4% de los ingresos globales, lo que sea mayor, mientras que las sanciones por CCPA pueden llegar a los 2,500 dólares por cada violación no intencionada.
Las capturas de pantalla, parcialmente redactadas y compartidas por Cybernews, muestran hojas de cálculo que contienen credenciales e información sensible de clientes, lo que convierte a esta base de datos en un objetivo atractivo para actores maliciosos que buscan realizar ataques a través de la cadena de suministro.
En declaraciones recientes, WebWork Tracker se disculpó por la filtración de datos y confirmó que se ha corregido la situación, asegurando que el bucket ha sido configurado correctamente. Además, la empresa indicó que han implementado significativas actualizaciones de seguridad a su software para disminuir la probabilidad de futuras filtraciones.
