Algunas organizaciones existen para ser exclusivas. Son solo por invitación y discretas; el tipo de lugar donde el directorio de miembros es el producto.
Dialog, la red exclusiva fundada por el inversor multimillonario y PayPal El cofundador Peter Thiel, entre cuyos miembros se encuentran un comandante en ejercicio de la OTAN, dos senadores estadounidenses y el secretario del Tesoro de Estados Unidos, es uno de ellos.
La semana pasada, información sobre cientos de esos miembros estaba disponible en texto plano en el sitio de distribución de su aplicación, visible para cualquiera que supiera hacer clic con el botón derecho. Entonces Dialog anunció que había sido víctima de un ataque informático.
Una página de registro que conducía directamente a los archivos de los miembros.
El sitio web se creó para distribuir una aplicación móvil que facilitara la organización de un próximo encuentro de la red, dedicada a la organización de reuniones de alto nivel. Cualquier visitante podía registrarse con cualquier dirección de correo electrónico. No se solicitaba contraseña.
Tras enviar un correo electrónico, el visitante accedía a una página de espera casi vacía que, según se informa, cargaba archivos internos de aproximadamente 200 personas de alto perfil directamente en su navegador. Estos archivos eran visibles mediante "herramientas integradas en todos los navegadores principales", lo que parece referirse a las herramientas para desarrolladores integradas en el navegador.
Esos archivos no eran mínimos. Al cargar los formularios del cuestionario, se obtenían fechas de nacimiento, contactos de emergencia, números de teléfono móvil, las inclinaciones políticas que Dialog asigna a sus miembros, clasificaciones internas y notas de calificación, así como las claves digitales que sirven como credenciales de acceso. En casi todos los casos, los datos expuestos eran exhaustivos, desde información de contacto privada hasta tokens de acceso activos.
Los registros también incluían a un funcionario de inteligencia actual de la Casa Blanca, un general retirado que ocupó un cargo importante en la inteligencia estadounidense y los directores de política de seguridad nacional de dos importantes empresas de IA. Dialog también califica de forma privada a los asistentes, teniendo en cuenta su riqueza e influencia en las decisiones sobre admisión, asientos y precios. Dichas calificaciones figuraban entre la información disponible en el HTML público.
Diálogo a la defensiva
El director general de Dialog describió el acceso como un hackeo.
“Ejecutado por un conocido criminal buscado en Estados Unidos.”
WIRED, que fue el medio que dio a conocer la noticia , no encontró pruebas de que fuera necesario ningún allanamiento. De hecho, parece que bastó con hacer clic en un enlace de una página web.
Los formularios se crearon con Fillout, un popular creador de formularios en línea. Los datos se almacenaron en Airtable, una plataforma de bases de datos en la nube muy utilizada. Fillout afirmó desconocer cualquier vulneración de sus sistemas y señaló que los clientes son responsables de configurar sus formularios, las fuentes de datos conectadas y los flujos de trabajo.
Dialog no ha especificado cuándo se activó por primera vez la página mal configurada, lo que significa que los datos de los miembros podrían haber estado accesibles públicamente durante un período indeterminado antes de que se descubriera el problema.
La configuración incorrecta de seguridad ocupa ahora el segundo puesto en el OWASP Top 10 de 2025, una lista del sector que destaca los principales riesgos de seguridad de las aplicaciones. Ha subido desde el quinto puesto en 2021. Esta categoría engloba más de 719 000 vulnerabilidades de seguridad documentadas.
La solución también es rutinaria: cree sistemas con solo las funciones que necesita y configúrelos de forma segura.
Lo que esto significa para el resto de nosotros
La forma en que las organizaciones describen los incidentes va más allá de una sola brecha de seguridad. Si el simple acceso a información pública se etiqueta habitualmente como un "hackeo", los investigadores de seguridad podrían mostrarse más reacios a investigar y divulgar de forma responsable los sistemas expuestos, lo que provocaría que las configuraciones erróneas permanecieran sin detectar durante más tiempo.
Para los usuarios finales, esta lección es anterior a internet. Si una organización recopila tu fecha de nacimiento, tus contactos de emergencia y una puntuación personal sobre tu valor para ellos, pregunta dónde se almacenan esos datos. Cualquier respuesta que incluya "nuestro sitio web" merece una segunda pregunta, y cualquier respuesta que se limite a "nos tomamos muy en serio tu seguridad" merece un análisis más profundo.
