Resumen de (in)seguridad: la empresa subcontratada que filtró datos de contratistas, el hackeo de una aerolínea y un caso de fraude corporativo

01.11.2023

Tradicionalmente, a fin de mes recopilamos los incidentes de seguridad de la información y seleccionamos los de mayor repercusión. En este número encontrará detalles sobre: 

• El infiltrado de una empresa japonesa de telecomunicaciones; 
• La filtración de los datos de los empleados de un minorista francés.
• Una estafadora que llevaba una vida de lujos con el dinero de su empleador.

Cartas al viento

¿Qué pasó?: ciberdelincuentes irrumpieron en los servidores de Air Europa y obtuvieron acceso a la información de las tarjetas de crédito de sus clientes. 

¿Cómo ocurrió?: el 10 de octubre, Air Europa envió un comunicado a sus clientes notificándoles que el ciberataque podría haberles permitido a los ciberdelincuentes acceder a los datos de pago de los clientes. La compañía no reveló el número exacto de clientes afectados. Se sabe que los ciberdelincuentes accedieron a números de tarjetas de crédito, fechas de vencimiento y códigos CCV. Sin embargo, la conservación de los códigos CCV viola las normas del Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS).

Los representantes de la empresa informaron que el 28 de agosto se detectó una actividad sospechosa en los sistemas internos. Los representantes de la aerolínea informaron del incidente a los clientes afectados 41 días después de sucedido. Los responsables de Air Europa afirman que no se confirmaron casos de uso indebido de datos robados, pero instaron a los clientes a bloquear las tarjetas de crédito si fueron utilizadas para pagar billetes (por si acaso).

Disculpa sincera

¿Qué ocurrió?: una empleada de la empresa escocesa Panda Rosa Metals fue condenada a 40 meses de prisión por malversación de dinero de su empleador.

¿Cómo pasó?: Colleen Muirhead, de 55 años, empleada de una empresa de reciclaje de metales, gastaba el dinero de su empleador en compras y vacaciones de lujo. El fraude fue descubierto por el socio principal de la empresa durante una verificación de antecedentes. La investigación reveló que la asistente administrativa había creado varias cuentas falsas a las que transfería fondos corporativos. En total, la mujer hizo varias transferencias desde cuentas de la empresa por valor de 1,8 millones de dólares.

Los compañeros de trabajo de Colleen Muirhead dijeron que no entendían como la mujer podía permitirse el lujo de irse de vacaciones con toda la familia (la mujer tiene cuatro hijos y siete nietos), pagar los gastos de la organización de un banquete para un evento benéfico y comprar automóviles. La mujer se declaró culpable y confesó que pagó la boda de su hijo y haber comprado varias furgonetas. Su abogado reveló que mujer intentó disculparse con la familia propietaria de Panda Rosa Metals.
 

El contratista que no llegó a tiempo

¿Qué sucedió?: un hacker publicó en un dominio público los datos de ocho mil empleados de la cadena minorista francés Decathlon.

¿Cómo sucedió?: el 7 de septiembre, especialistas de vpnMentor encontraron una base de datos en la red oscura (Darknet) que contenía la siguiente información sobre los empleados de Decathlon: 

• Nombres y apellidos
• Números de teléfono
• Direcciones de correo electrónico
• Países y ciudades de residencia 
• Tokens de autenticación
• Fotos. 

Según los especialistas de vpnMentor, el hacker publicó los datos filtrados en 2021 de la red Bluenove, socia de Decathlon. El 9 de marzo de 2021, los expertos cibernéticos descubrieron que Bluenove estaba almacenando los datos recopilados en un almacenamiento en la nube configurado incorrectamente. Los expertos informaron del descubrimiento a los representantes de Bluenove y el 13 de abril se bloqueó el acceso a los datos. Pero resultó que la empresa no pudo solucionar la infracción sin consecuencias: al menos un atacante logró acceder a los datos de los empleados de Decathlon antes de que los expertos de Bluenove reconfiguraran los derechos de acceso.

Los datos de los asistentes a un festival de cine corren peligro de fuga

¿Qué sucedió?: los datos de los participantes del Festival Internacional de Cine de la India (IFFI) estaban disponibles al público.

¿Cómo sucedió?: en septiembre se abrieron las inscripciones para IFFI, el festival de cine más grande de Asia que se celebrará en noviembre. En octubre se supo que se habían filtrado datos sobre los asistentes registrados al festival.

Cualquier visitante del sitio web oficial de IFFI en una determinada URL podía acceder a un repositorio desprotegido con información sobre los participantes. Supuestamente, el repositorio contenía datos de 550 participantes:

• Documentos de identidad
• Números de teléfono
• Direcciones
• Fechas de nacimiento 
• Portafolio con enlaces a películas inéditas. 

Uno de los afectados dijo que lo que le preocupaba más era que cualquier persona tenga acceso a su trabajo cinematográfico y pudiera ver sus videos subidos a YouTube y Google Drive a que se pusieran en peligro sus datos personales, ya que sólo aquellos usuarios que tuvieran los enlaces podrían acceder a los vídeos de los participantes del festival. Los cineastas hacen esto para encontrar productores o editores que acepten comprar sus obras más adelante y luego publicarlas en el dominio público. La filtración de información sobre las obras de un cineasta reduce sus posibilidades de participar exitosamente en IFFI y otros festivales de cine. Después que la noticia sobre el incidente apareciera en los medios, IFFI Goa bloqueó el acceso al catálogo de archivos en su servidor.

Un infiltrado con experiencia

¿Qué ocurrió?: la empresa japonesa de telecomunicaciones NTT expuso datos de nueve millones de clientes.

Cómo ocurrió: NTT empezó a investigar el incidente en 2022 después de que varios clientes se quejaran de una probable filtración de datos. La empresa llevó a cabo una investigación interna, pero no descubrió ningún delito. Después, la policía se unió a la investigación. Se decubrió que durante 10 años uno de los empleados había estado filtrando datos de clientes a cambio de dinero. El empleado sin escrúpulos tenía acceso a un servidor donde se almacenaba la siguiente información sobre los clientes: 

• Direcciones
• Nombres
• Números de teléfono. 

Según los representantes de la empresa, el empleado descargaba datos confidenciales en un dispositivo de almacenamiento USB y luego los vendía. Los responsables de la empresa también informaron de que el empleado filtró los datos de las tarjetas de crédito de los clientes.

En una rueda de prensa celebrada el 17 de octubre, los directivos de NTT West pidieron disculpas a los clientes afectados. Admitieron que los métodos de seguridad de la información aplicados eran ineficaces. En algunos casos, los empleados de la empresa no cumplían ni siquiera con los requisitos básicos de seguridad.

Filtración internacional de datos

¿Qué ocurrió?: Los datos de los clientes de la empresa japonesa Casio se hicieron públicos.

¿Cómo ocurrió?: Los representantes de la empresa informaron de que unos piratas informáticos consiguieron entrar en los servidores de la plataforma educativa ClassPad y acceder a los datos de los usuarios. Los expertos de la empresa japonesa detectaron el incidente en octubre tras un fallo en la plataforma educativa. Los atacantes obtuvieron acceso a lo siguiente : 

• Nombres de clientes
• Direcciones de correo electrónico 
• País de residencia
• Información sobre el uso del servicio
• Información de compra, que incluía el método de pago, el código de licencia y los detalles del pedido. 

Los representantes de Casio afirman que los piratas informáticos no consiguieron comprometer la base de datos donde se almacenaban los datos de las tarjetas bancarias. 

En total, los ciberdelincuentes accedieron a más de 90.000 registros con datos de clientes japoneses y a 35.000 registros con datos de clientes de 149 países.

Solicitud de datos

¿Qué pasó?: un exdirector de informática de la Armada filtró datos personales a cambio de dinero.

¿Cómo ocurrió?: según los registros judiciales, en agosto de 2018, el gerente de tecnología Marquis Hooper aprovechó su cargo oficial y abrió una cuenta en una empresa que gestiona una base de datos sobre millones de personas. La empresa solo concede acceso a esa base de datos a petición oficial de empresas y agencias gubernamentales. Hooper dijo a la empresa que la Marina necesitaba acceder a la base de datos para comprobar sus antecedentes militares. Una vez creada la cuenta, el director de informática conectó a su mujer con ella y cargaron la información personal de 9.000 personas de la base de datos. Esta información la vendieron por 160.000 dólares a varios usuarios de la res oscura. Algunos de los datos que los atacantes lograron ser utilizados en esquemas fraudulentos.

En diciembre de 2018, la cuenta de Marquis Hooper fue bloqueada por sospecha de fraude. Pero esto no detuvo a Hooper, encontró un cómplice, al que ofreció por 2500 mil dólares abrir una cuenta supuestamente para las necesidades de la Marina. El cómplice solicitó abrir la cuenta, pero la empresa pidió una autorización oficial con la firma de un oficial de suministros. Hooper proporcionó al cómplice documentos falsos, pero aun así la empresa se negó a abrir la nueva cuenta. El Servicio de Investigación Criminal de la Marina, la Oficina Federal de Investigación y Homeland Security Investigations participaron en la investigación del plan fraudulento. Marquis Hooper fue condenado a cinco años y medio de prisión, y su esposa está a la espera de sentencia. Se informó que la mujer podría enfrentarse a una pena de 20 años de prisión y una multa de 250.000 dólares.
 

Datos personales Atacante interno Fraude Mensajeros