Titulo

Texto

Informe de Incidente de
Seguridad/Integridad en Plataforma de
Comercio Electrónico “E-COM”

Uso Confidencial
Incidente de seguridad/integridad en plataforma de comercio electrónico
Sistema Afectado Plataforma de comercio electrónico E-COM

Equipo Técnico de Respuesta Área de Comercio Electrónico

ID incidencia 4548

Criticidad Muy urgente

Fecha informe Lunes, 03 de mayo de 2021

Clientes afectados Municipalidad de Talca

Participantes en la elabora- Carolina Noriel (Jefa de área de comercio electrónico)

ción de informe Gloria Ugarte (Encargada de Procesos SGSI)

1. Información General: el viernes 23 de abril de 2021, a las 12:19 horas se informa,

a través de correo electrónico, que se registra un problema de integridad que
afecta al código QR del permiso de circulación de la placa patente de un contri-
buyente de un municipio cliente de CAS-CHILE®.

2. Información Detallada: el viernes 23 de abril 2021, a las 12:19 horas, el informá-

tico de un municipio cliente de CAS-CHILE® reporta, por medio de correo elec-
trónico, que contribuyente de la municipalidad presenta problemas de integridad
en el permiso de circulación, el cual fue pagado a través del portal de comercio
electrónico ECOM, específicamente se indica un problema en el código QR del
documento: al escanear código éste es redireccionado a un documento de otro
permiso de circulación pagado por este mismo portal.

A raíz de ese caso, se procede a la revisión de la base de datos con la finalidad

de detectar posibles nuevos casos que pudieran verse afectado con el mismo
problema. Para este caso, en la Municipalidad de Talca se detecta un contribu-
yente afectado con el problema en el documento del permiso de circulación de
la placa patente YR-5300, así como se muestra a continuación:
 Imagen n°1: Permiso de circulación con código QR defectuoso.

Imagen n°2: Permiso de circulación a donde redireccionaba el código QR de la imagen n°1

Como parte del proceso, se genera la formalización del incidente a través del
software del Sistema de Gestión de Seguridad de la Información, con registro de
número de ticket: 4548 “Incidente de Seguridad – Integridad en Permisos de Cir-
culación” cuyo carácter prioritario fue clasificado como “Muy urgente”.
 A partir del reporte de problema de integridad en el permiso afectado, se aplica
la solución pertinente y el respectivo análisis de causa (mencionados en los si-
guientes puntos) dejando el incidente resuelto a las 12:51 horas del mismo día.

3. Análisis de Causa: una vez formalizado el incidente, se procede a realizar el aná-

lisis de causa correspondiente para iniciar el proceso de solución.
Al revisar la situación, técnicos de nuestro proveedor ESIGN 1 determinan que
este problema se produce debido a que ambos archivos de los permisos de cir-
culación (YR – 5300 y LDXG – 65) compartían el mismo código de validación
(1615337953697) ya que ambos fueron firmados en el mismo instante de tiempo,
coincidiendo incluso en los milisegundos, con esta coincidencia las transacciones
procesadas en dicho instante se cruzaban entre ellas provocando el inconve-
niente.

4. Solución Aplicada: debido al análisis de causa expuesto en el punto anterior, es

que nuestro equipo de técnicos del área de comercio electrónico hace trata-
miento inmediato al caso expuesto (placa YR - 5300), corrigiendo el código QR,
revisando y validando que redireccionara al documento correcto, así como se
muestra a continuación:

Imagen n°3: Permiso de circulación de placa YR - 5300 con código QR correcto.

1
Ver Anexo de informe ESIGN.
 Por otro lado, previo a este incidente, se reporta que el lunes 15 de marzo de
2021 el código QR de un permiso de circulación presenta problemas en el redi-
reccionamiento pues éste apunta a un permiso de circulación que no corres-
ponde a la placa patente del vehículo del contribuyente .

En base a ello, el martes, 16 de marzo de 2021, CAS-CHILE® solicita a su provee-

dor ESIGN adicionar un identificador único universal (UUID), el cual impide simili-
tudes en el nombre del archivo ya que este identificador está conformado por 32
dígitos divididos en 5 grupos, es decir 36 caracteres para denominar a un archivo,
evitando así el cruce de información entre distintos documentos generados en el
portal de comercio electrónico ECOM, pese a ello, desde nuestro proveedor no se
realizó la modificación a los links de los códigos QR.

Sin embargo, y a pesar de incluir el identificador, el viernes 23 de abril de 2021

se verifica que existen 19 permisos de circulación en la misma situación (1 en
Municipalidad de Talca). Esto se debe básicamente a que el proveedor no realizó
la modificación a los links de los códigos QR de los permisos de circulación de los
contribuyentes afectados, por lo que a partir de la incorporación de la validación
del código QR a los permisos señalados, nuestro proveedor informa que se debe
generar nuevamente los permisos para que el documento tome el código QR co-
rrecto, por lo que inmediatamente el área de comercio electrónico de nuestra
organización regenera estos permisos y valida que efectivamente el código QR
redireccionara correctamente. Además, se les envió un correo electrónico 2 con el
documento corregido.

Como parte de las medidas adoptadas, nuestro proveedor ESIGN se compromete

a contactar a cada uno de los contribuyentes afectados por este incidente.

Finalmente, y a modo de resumen, se muestra tabla de las placas patentes afec-

tadas, así como la acción correctiva realizada por CAS-CHILE®:

N° de Placa Pa- Fecha de regene- Envío de

Estado
Caso tente ración Correo
1 YR - 5300 17/03/2021 Regenerado OK

2
Ver Anexo
 A continuación el link correcto para el caso afectado:

https://caschile.esigner.cl/SignServerEsign/visualizadorPDF/downloadPdf.jsp?codVer=1615989672128

5. Situación actual: desde el reporte de problema en código QR del permiso de

circulación de la placa patente YR - 5300, se revisan y analizan las bases de datos
íntegramente validando el sábado, 24 de abril de 2021 que efectivamente no se
encuentran más casos que presente este tipo de problemas, por lo que se verifica
que el portal de comercio electrónico ECOM genera documentos de permisos de
circulación con información íntegra.

6. Anexo:

• Informe de Reporte de incidencia #20210423 (elaborado por ESIGN)

• Correo enviados a contribuyentes afectados:

Imagen n°4: correo enviado a contribuyente de placa YR-5300