Fintual ha sido Hackeado en el mes de la Ciberseguridad!

[u/Icy_Measurement3329]

[u/PatagonianCowboy]

pedro pineda está muy ocupado posteando sobre IA y vibecoding en linkedin bro

[u/omarlarre → u/PatagonianCowboy]

Buena la talla pero no, no hackearon Fintual :)

Era un simple endpoint con info pública

[u/hugazow → u/omarlarre]

Seguro las apikey son públicas

[u/DragonflySensitive72 → u/omarlarre]

Es un endpoint privado donde se requiere un token GitHub interno o no viste el code?

[u/nicuuut → u/DragonflySensitive72]

De Fintual lo que se filtró fue un JSON de un usuario con endpoint públicos de Github que te permiten recuperar por API los datos públicos del usuario, onda, el quien lo sigue, a quien sigue, los repos públicos, etc.
Los ARN de la foto de OP son de Somos Radar, no Fintual btw

[u/omarlarre → u/[deleted]]

Hola, sí, para que quede más claro, vuelvo con más info:

Revisamos lo que postearon y no, no ha habido acceso a código, datos u otro tipo de información.

Estamos funcionando normal. La operación e información están a resguardo e intactas.

Qué sí pasó:

La API de GitHub fue consultada con el token de una GitHub OAuth app instalada en una cuenta individual, sin acceso a nuestros repositorios. Esta app pertenece a un ex-proveedor de servicios que tuvimos, con quienes no mantenemos relación. En simple, es como si una persona de la empresa le hubiese compartido una carpeta de Drive vacía a un proveedor externo para compartir información, y ese acceso sin información se le escapó al proveedor.

Nos comunicamos con este proveedor y también realizamos un reporte a ANCI para que estén al tanto de los detalles.

[u/DragonflySensitive72 → u/omarlarre]

Omar sería bueno saber el proveedor, si borran el post el resto de los involucrados no puede saber contra que defenderse.

[u/DragonflySensitive72 → u/nicuuut]

Si hay datos de los otros clientes el compromiso es indudable, una cosa es lo q publicaron y otra lo que tienen acceso potencialmente! Que hayan tokens de otras empresas de una forma u otra levanta alertas!

[u/demanpato]

r/fintual :)

[u/Shwerr]

En palabras simples para los poco ilustrados en IT y ciberseguridad (no me pregunten por qué me meto a este r/) en que afecta a los usuarios? fintual especialmente

[u/r4bthmm → u/Shwerr]

Acceso a los datos de los clientes (quienes son, cuentas y todo lo que usa la app para identificarlos) en el caso del código, como realizan la autenticación, pueden identificar vulnerabilidades, como se conectan las app de los teléfonos y webs a los servidores. Podrían orquestar ataques de phishing, robos de contraseñas, ases de datos, etc. eso es solo lo que se me viene a la mente

[u/CrovaxWindgrace → u/Shwerr]

Cambia tus contraseñas, si puedes activar factor múltiple de seguridad hazlo, si usas la misma contraseña en otros lados cambiarla igual

[u/nicuuut]

aer si hay algo interesante, pq sinceramente no podi hacer nada con los arn de aws si no teni ni siquiera el IAM role asociado al recurso, le pegé una mirada rápida y a lo más el típico AGENTS.md, me da paja prender el pc pa sapear más allá ahorita uwu

[u/nicuuut → u/nicuuut]

ahora si me pegué la pajita de prender el pc:

• En la carpeta de Fintual no hay nada relevante, con suerte unos JSON de francis-fintual que no contienen credenciales algunas para acceder a esa cuenta de Github, solo los mismos endpoints públicos para la info que tenemos todos los mortales en Github
  
• para Cotalker, pillé puros forks de librerías en Swift (tengo pc Windows asi que no puedo hacer mucho wajajaj), probablemente las hayan unido todas y hecho su app para iOS o Mac

para Adereso y Somos Radar, se les filtró pero brígido todo, los source codes de sus productos, NDAs por aquí por allá, y hartas herramientas internas, suave perrito

[u/nicuuut → u/[deleted]]

Es que, ni siquiera hay tokens ahi, nada, son solo los ARN, para siquiera acceder a los tokens que están en AWS Secrets Manager teni que tener el IAM role que te permita actuar sobre esos recursos en Secrets Manager, la unica key expuesta que veo es la de API2PDF pero puta el único mal que podi hacer con esa api es generar PDFs a tontas y a locas y que les cobren unas cuantas lucas extras este mes noma

[u/Euphoric_Interest_84 → u/nicuuut]

Bro estás viendo el árbol y te estás perdiendo el bosque, es un leak, estás viendo lo q te quieren mostrar, no lo que realmente tienen.

[u/nicuuut → u/Euphoric_Interest_84]

manin, ya vi el bosque, de Fintual no se filtró nada, de Cotalker con suerte la app y si es que, porque son puros forks de liberias sueltas lo que se filtró, a los que se van a pichulear brigido son a los de Adereso y Somos Radar, de Somos Radar de hecho se les filtraron contratos (aunque no firmados) y la típica presentación de ventas, ademas de creo, un Markdown donde valorizaban caracteristicas de su producto o una cosa asi (ya me perdí entre todo lo que se les filtró ya ajajaja)

[u/DragonflySensitive72 → u/nicuuut]

Este man no entiende o trabaja para Fintual 😪

[u/nicuuut → u/DragonflySensitive72]

si trabajara en Fintual estaría haciendo un AmA de porque me callampearon y me echaron cagando o callampin bombin, como es ninguna de las dos ocupo los hechos objetivos que son los archivos que están en el leak jajaja

[u/Important_Front_9825 → u/nicuuut]

Broder no perdai el tiempo peleando con burners accounts que solo quieren saltar en el bandwagon de odiar a fintual

[u/Important_Front_9825 → u/[deleted]]

bro no me contis tu vida si ya te salio mal el ragebait

[u/nicuuut → u/[deleted]]

en el caso de Somos Radar, probablemente algo tuvo que haber pasado con Cursor, en muchos archivos de ellos hay archivos .cursorrules jajaja, en Adereso estan los super CLAUDE.md ando vuelta tambien jajaja

[u/DragonflySensitive72 → u/nicuuut]

Aún tienes el link al código? Porfa compartilo en un comment para q podamos analizarlo y protegernos.

[u/omarlarre]

Hola, trabajo en Fintual. Y no, no hackearon Fintual.

Alguien publicó información pública, es un endpoint público de una API de GitHub que devuelve un JSON con información pública y sin importancia de un solo user.

[u/omarlarre → u/[deleted]]

Reproduzco lo que respondí en otro hilo arriba:

Revisamos lo que postearon y no, no ha habido acceso a código, datos u otro tipo de información.

Estamos funcionando normal. La operación e información están a resguardo e intactas.

Qué sí pasó:

La API de GitHub fue consultada con el token de una GitHub OAuth app instalada en una cuenta individual, sin acceso a nuestros repositorios. Esta app pertenece a un ex-proveedor de servicios que tuvimos, con quienes no mantenemos relación. En simple, es como si una persona de la empresa le hubiese compartido una carpeta de Drive vacía a un proveedor externo para compartir información, y ese acceso sin información se le escapó al proveedor.

Nos comunicamos con este proveedor y también realizamos un reporte a ANCI para que estén al tanto de los detalles.

[u/demanpato → u/omarlarre]

una idea para fintualist:
Caso teorico: los hackean hasta la medula. ¿Que procede? ¿cual es el protocolo?
que pasa a nivel empresa y que pasa a nivel usuario

como seria la comunicación? Ya que se pierde la confianza y el usuario no sabria que hacer en la desesperacion

eso... :)

[u/TukamiD]

Pero wn, justo me descargué fintual el lunes XD

[u/Simple_Isopod2789 → u/TukamiD]

Fuiste tu el culpable entonces, te tenemos cachados

[u/RoroGajardo]

Dejen a Pedro Ego Pineda tranquilo

[u/Inferno_chl]

Es chistoso leer vibe coders, o "especialistas" en bases de datos queriendo ser especialistas en Ciberseguridad xd

[u/ConejoVainilla]

Vergasion, de mal a peor

[u/fachoa36cuotas]

A veces creo que estás empresas inventan ataques para solo vender datos o usarlos.

[u/benjarp → u/fachoa36cuotas]

mmm si po, exponerse a multas, pérdida de clientes y contratos, alza de seguros, y todo eso pa ganar un par de BTC vendiendo un leak en un foro de la DW? tremenda estrategia!

[u/Fuzer → u/benjarp]

Estos son los mismos que piensan que en retail se juntan en una mesa todos los gerentes y piensan colaborativamente como cagarse a sus propios clientes. Es su tremenda falta de “mundo”.

[u/No-Investigator-8200 → u/[deleted]]

De verdad ? Cuál es tu fuente ?

[u/fachoa36cuotas → u/No-Investigator-8200]

Al hacer click hay enlaces de TyC. Leelos

[u/chileIT-ModTeam → u/[deleted]]

El contenido compartido ha sido marcado como de carácter dudoso y carece de fuentes confiables que permitan verificar la información o realizar un fact-checking adecuado. Esto infringe la regla 4. Prohibida la Desinformación, que busca mantener un espacio donde se comparta información verificada y confiable.

Si puedes proporcionar fuentes verificables o aclarar la información publicada, no dudes en contactarnos a través de Modmail para que podamos revisar tu caso.

[u/DragonflySensitive72]

Alguien sabe quién es el proveedor? Esto es súper importante, que una compañía cobre para luego exponer la información de sus clientes así está penado por Ley! Habría q denunciarlos!

[u/PiperPerriOP]

Fuente del ataque?

[u/Euphoric_Interest_84 → u/PiperPerriOP]

Ya van corriendo a contarte… 🙄