Experian Flaw acaba de revelar los PIN que protegen los datos crediticios

Las congelaciones de crédito son la mejor manera de prevenir el fraude de nuevas cuentas, donde los delincuentes abren cuentas falsas en su nombre. Sin embargo, el sitio de un buró de crédito hizo que resultara inquietantemente fácil eludir la seguridad que se supone que mantiene seguros sus informes de crédito.

El sitio de Experian expuso los números de identificación personal (los PIN necesarios para descongelar el congelamiento del crédito) después de que los usuarios respondieron a sus preguntas de seguridad con una respuesta general: ninguna de las anteriores.

Hace más de un año, el experto en seguridad Brian Krebs reportó una falla similar. En ese momento, las personas tenían que responder correctamente las cuatro preguntas de "autenticación basada en el conocimiento" utilizadas para identificarlas. El problema con este método, según Krebs, es que la información personal necesaria para adivinar con éxito las respuestas está disponible en línea a través de sitios comerciales y criminales.

Pero durante varias horas el jueves, y para quién sabe cuánto tiempo antes, ni siquiera tenía que adivinar.

Un lector nos alertó sobre este problema y varios de nosotros que tuvimos problemas de crédito pudimos replicarlo. Le preguntamos a nuestros seguidores en Facebook y Twitter y escuchamos a otros que también obtuvieron acceso a sus PIN.

Defecto en el proceso normal.

Para obtener los números, las personas completaron el formulario en la página de recuperación de PIN de Experian con el nombre, la dirección, el número de Seguro Social y la fecha de nacimiento de una persona, exactamente el tipo de información que se vio comprometida en la violación de Equifax del año pasado, y está disponible para la venta en la web oscura. El formulario requería una dirección de correo electrónico, que no necesariamente tenía que ser la asociada con la cuenta de Experian de la persona. Al responder "ninguna de las preguntas anteriores" a las preguntas de seguridad, incluso si algunas de las respuestas ofrecidas eran correctas, se le otorgó acceso al PIN de esa persona.

Con el PIN, cualquier persona puede descongelar la congelación de crédito de esa persona y solicitar crédito en su nombre.

El defensor del consumidor Mike Litt también pudo recuperar su PIN usando el defecto. "No hay absolutamente ninguna excusa para esto", dice Litt, director de campaña de U.S. PIRG, una organización de defensa del interés público. "¿Cómo acaba de dejar las llaves de la puerta en la parte superior de la alfombra de bienvenida?"

Un portavoz de Experian emitió una declaración el jueves por la tarde que decía: “Si bien estamos seguros de que nuestra autenticación es segura y que no existen riesgos en los archivos de crédito, hemos tomado medidas adicionales para hacer que el proceso sea más seguro. Continuamos supervisando nuestros sistemas con regularidad, tomando medidas inmediatas cuando sea necesario para fortalecer la seguridad de los datos ".

Mensajes de error en marcha

Al final del jueves, muchos de nosotros empezamos a recibir los mensajes de error que nuestras respuestas deberían haber generado en primer lugar. Recibimos instrucciones para enviar a Experian nuestra información de identificación, como copias de nuestra licencia de conducir, facturas de servicios públicos y tarjeta de Seguro Social.

El correo de los Estados Unidos, en caso de que sea necesario decirlo, no es una forma segura de transmitir dicha información. Pero como estos detalles ya están en manos de delincuentes, lo dejaremos por ahora.

Este es otro recordatorio de que debemos seguir supervisando nuestros informes de crédito y puntajes para cuentas fraudulentas, incluso si tenemos congelaciones de crédito, como todavía deberíamos.

Lo que es realmente angustioso es que se supone que los bloqueos de seguridad son uno de los pocos baluartes efectivos que las personas pueden poner contra el fraude. Es por eso que los expertos en seguridad los han recomendado durante años, y por qué el Congreso finalmente logró congelarse y descongelarse a partir del 21 de septiembre.

La facilidad con la que se podría frustrar esta protección esencial nos dice que las agencias de crédito todavía no están tomando la seguridad de nuestra información lo suficientemente en serio.

El escritor del personal Bev O’Shea contribuyó a este informe.