¿Qué hizo en realidad el investigador?

Ian Carroll salió a buscar agujeros en Front Gate Tickets, el brazo de taquilla que Live Nation y su división Ticketmaster usan para una larga lista de festivales estadounidenses. Encontró un punto de la API pensado para dispositivos, el que consultan los escáneres en las puertas, y un parámetro llamado deviceUID que no limpiaba sus entradas. La plataforma estaba tras un cortafuegos, un AWS WAF, que solo leía la capa externa de una consulta. Carroll usó el Claude de Anthropic para meter el código malicioso dentro de una subconsulta anidada, y la carga pasó sin problemas. A partir de ahí fue un oráculo booleano, una pregunta de verdadero o falso cada vez, hasta que la base reveló su estructura.

¿Cómo de grave era el acceso?

Grave. La base interna tenía más de 500 tablas: credenciales del personal, pedidos de clientes y una tabla de tokens de restablecimiento activos, canjeables para secuestrar cuentas. Con eso, Carroll dice que podía emitirse a sí mismo entradas para cualquier evento, de cualquier valor, y rebuscar en las fichas de clientes a placer. Una simple búsqueda de "chris" devolvía a miles de personas. Es la columna vertebral de las entradas de EDC, Bonnaroo y Outside Lands, a una sola petición no autenticada de una toma de control total.

El cortafuegos solo leía el exterior de la consulta. El daño de verdad estaba un nivel más abajo.

¿Por qué apunta a Ticketmaster?

Porque Front Gate Tickets es suya. Live Nation y Ticketmaster llevan años defendiendo su dominio del directo apelando a la escala y a la seguridad, y es la misma casa cuya filtración de consumidores expuso a millones en 2024. La concentración se vendió como garantía. Aquí hay una plataforma de Live Nation que hacía funcionar el sistema de entrada de casi todos los grandes festivales de EE. UU. con código que llevaba una inyección SQL no autenticada. Carroll lo avisó el 25 de abril, Front Gate lo arregló en un día aproximadamente y afirma que nada indica que alguien hostil lo encontrara antes. El informe público salió el 1 de julio.

Qué significa para la pista

Dos cosas. Primera, la IA no entró sola. La pilotaba Carroll; Claude acortó la tarde al dar con el atajo del cortafuegos que a un humano le habría costado más ver. Trabaja dentro del programa de investigadores verificados de Anthropic, que, según la empresa, habría bloqueado esta actividad para cualquiera de fuera. Segunda, cuando una sola firma posee las tuberías de casi todo el mercado, un fallo es el fallo de todos. La pulsera de tu muñeca vale lo que valga el punto de acceso menos auditado que hay detrás.