Resumen de (In) seguridad: el robo de datos de los pizzeros, una multa millonaria y la filtración de datos de los proveedores de un fabricante de aviones
05.10.2023
VolverHa llegado la hora del tradicional repaso mensual a los incidentes "clásicos" y no triviales de seguridad informática de los que se hacen eco los medios de comunicación. En septiembre hubo: la filtración de datos de proveedores de Airbus; un pirateo a gran escala de la plataforma Freecycle y el chantaje a Pizza Hut Australia.
Pepperoni sabor datos personales
Qué ocurrió: los invasores accedieron a los datos de 1 millón de clientes de Pizza Hut Australia.
Cómo ocurrió: los atacantes afirman haber accedido a los datos de Pizza Hut hace varios meses a través de Amazon Web Services utilizando múltiples puntos de entrada. Como prueba del crackeo, los ciberdelincuentes proporcionaron varias muestras de datos que contenían 200.000 registros. Una de las muestras contenía información sobre 100.000 clientes, incluyendo:
- Nombres
- Direcciones de correo electrónico
- Direcciones postales
- Números de teléfono móvil
- Contraseñas
- Tipo de servicio (entrega o recogida)
- Números de tarjetas de crédito. (Los datos de las tarjetas de crédito estaban cifrados y las contraseñas tenían hash).
Presumiblemente, los crackers podrían haber accedido a 30 millones de registros con detalles sobre pedidos y datos de 1 millón de clientes. Se sabe que los ciberdelincuentes exigieron 300.000 dólares por borrar todos los datos.
Expertos en filtraciones de datos preguntaron a la dirección de Pizza Hut Australia si tenían conocimiento del pirateo y si pensaban notificarlo a los clientes afectados, pero no hubo respuesta a la consulta.
Casi todo el mundo
Qué ocurrió: la plataforma Freecycle informó de una violación masiva de datos que afectó a más de 7 millones de usuarios.
Cómo ocurrió: Freecycle es una plataforma online para compartir cosas, su base de datos contiene datos de 11 millones de usuarios. El 30 de mayo se supo que la mayor parte de estos datos había quedado al descubierto. Un desconocido puso a la venta los datos de los usuarios de la plataforma en un foro de crackers y advirtió a las víctimas de que cambiaran sus contraseñas. El atacante afirmó que se había apoderado de la cuenta del fundador de la plataforma y había conseguido acceder a todos los datos de los miembros de Freecycle. Según los representantes de la plataforma, la información robada incluía:
- Nombres de usuario
- Identificadores
- Direcciones de correo electrónico
- Contraseñas.
El fundador de Freecycle afirmó que los expertos de la empresa se dieron cuenta de la filtración el 30 de agosto, casi tres meses después de que se expusieran los datos. Los responsables de la plataforma Freecycle pidieron disculpas a los afectados y denunciaron el incidente a las autoridades.
Desanonimización de libros
Qué ocurrió: los datos de 1,2 millones de clientes de la cadena de librerías australiana Dymocks quedaron expuestos como consecuencia del pirateo informático.
Cómo ocurrió: el 8 de septiembre, los clientes de Dymocks recibieron mensajes en nombre del director general de la empresa notificando que se había producido la filtración de datos y que se había abierto una investigación. La información robada incluía:
- Nombre de los clientes
- Fechas de nacimiento
- Direcciones de correo electrónico y postal
- Sexo.
Los representantes de Dymocks afirmaron que el incidente no afectaba a los datos financieros de los usuarios.
El experto cibernético Troy Hunt, que notificó a los responsables de Dymocks la filtración de datos, sugiere que el crackeo podría haberse producido hace meses, ya que algunas de las cuentas comprometidas se crearon en junio de 2023. Además, el experto planteó la cuestión de por qué la librería recopilaba y almacenaba las fechas de nacimiento y el sexo de los clientes. El experto cree que la empresa recopiló una cantidad excesiva de datos. Hunt también contó que alrededor de una cuarta parte de los 1,2 millones de registros del conjunto de datos de Dymocks estaban etiquetados como "inactivos".
Datos personales dispersos
Qué ocurrió: el fabricante de equipos de golf Callaway reveló datos de 1,1 millones de clientes.
Cómo ocurrió: la filtración salió a la luz después de que los representantes de Callaway enviaran una carta en la que informaban de que, como consecuencia del incidente, el 1 de agosto algunos de los servicios de la empresa no estaban disponibles y unos desconocidos habían accedido a los datos de los clientes, guardados en los sistemas informáticos de la empresa. Los datos de los clientes comprometidos incluían:
- Nombres y apellidos
- Direcciones de envío
- Direcciones de correo electrónico
- Números de teléfono
- Historial de pedidos
- Contraseñas de cuentas.
Los representantes de la empresa afirmaron que detectaron el incidente en una fase temprana y tomaron medidas inmediatas para detenerlo.
Según la notificación de la filtración, el incidente afectó a los datos de 1.114.954 usuarios. Los representantes de Callaway afirman que no se expusieron datos de pago, números de identificación ni números de la seguridad social como consecuencia del incidente.
Solicitud de datos
Qué ocurrió: Los reguladores suecos impusieron una multa de 3 millones de dólares a una compañía de seguros por filtrar los datos de 650.000 clientes.
Cómo ocurrió: la Autoridad Sueca de Privacidad (IMY) inició una investigación contra la compañía Trygg-Hansa tras recibir un chivatazo de un cliente de Moderna Försäkringar (ahora parte de Trygg-Hansa). Resultó que el cliente, al hacer clic en los enlaces de las páginas de presupuestos, ha visto que el servidor de Trygg-Hansa estaba a disposición del público. Quedaron expuestos los siguientes datos de clientes:
- Información sanitaria
- Información financiera
- Datos de contacto
- Números de la seguridad social
- Condiciones de seguro social.
Los datos estuvieron disponibles para usuarios no autorizados desde octubre de 2018 hasta febrero de 2021. Los expertos de IMY detectaron 202 casos de acceso a datos personales de clientes por parte de usuarios no autorizados.
Los empleados responsables de la aseguradora no resolvieron los problemas ni siquiera después de recibir el informe sobre el incidente, por lo que se impuso la multa de 3 millones de dólares.
Proveedores en línea
Qué ocurrió: los datos de varios miles de proveedores del fabricante de aviones Airbus acabaron en la darknet tras el pirateo de la cuenta de un empleado de Turkish Airlines.
Cómo ocurrió: según el informe de Hudson Rock, un cracker informó a principios de septiembre de que había conseguido acceder al portal web de Airbus tras comprometer la cuenta de un empleado de Turkish Airlines. El atacante también afirmó que había conseguido obtener la información personal de 3.200 proveedores sensibles de Airbus, con datos de contacto como:
- Nombres
- Direcciones
- Números de teléfono
- Direcciones de correo electrónico
Un portavoz del gigante aeronáutico confirmó posteriormente que los piratas informáticos habían violado la cuenta informática de un cliente de Airbus. Según el funcionario, la cuenta del cliente se utilizó para descargar documentos comerciales del portal web de Airbus.
Por el informe de Hudson Rock, sabemos que el ordenador del empleado de la aerolínea turca que el cracker utilizó para entrar en Airbus se infectó con malware para robar información en agosto de 2023. Los ciberinvestigadores especulan con que el empleado intentó descargar una versión pirateada de Microsoft .NET Framework.