Resumen de (in)seguridad: Servidor desprotegido, fuga de datos de la Marina y un ataque a la cadena de suministro

23.05.2024

Llegó el momento de compartir nuestro tradicional resumen mensual de los principales incidentes de seguridad de la información. En la edición de mayo, revelaremos: el caso de una empresa prestadora de servicios de salud sin escrúpulos; la fuga accidental de datos causada por el proveedor de SaaS; las consecuencias de la negligencia del mayor fabricante de electrónica de la India.

Error de cálculo analítico

Qué ocurrió: la importante empresa estadounidense Sisense fue víctima de un ciberataque.

Cómo ocurrió: el 11 de abril, la Agencia de Protección de Infraestructura y Ciberseguridad de EE. UU. (CISA) informó de que la empresa estadounidense, Sisense, había sido pirateada.

La empresa está dedicada al desarrollo de software de inteligencia empresarial. La lista de clientes de la empresa incluye algunas de las mayores empresas del mundo: Nasdaq, Philips Healthcare, Verizon, Air Canada y otras.

El incidente salió a la luz gracias a investigadores anónimos. Estos notificaron a la CISA la filtración de datos de clientes de Sisense. Una investigación preliminar reveló que se vieron afectadas organizaciones de infraestructuras críticas de Estados Unidos.

Aún no se conocen otros detalles sobre el incidente

Los representantes del regulador aconsejaron a los clientes de Sisense que cambiaran todas las credenciales y tokens de acceso, relacionados con las herramientas y servicios de la compañía. El investigador Brian Krebs compartió más tarde un mensaje de Sisense que se distribuyó entre la lista de correo privada de clientes. En su mensaje, los responsables de la empresa duplicaban las recomendaciones del regulador y confirmaban la filtración de datos de clientes.

Lo siento, ¡está abierto!

¿Qué ocurrió? Microsoft dejó desprotegido y a disposición del público uno de los servidores internos de desarrollo del motor de búsqueda Bing.

Cómo ocurrió: Los investigadores de SOCRadar encontraron un servidor de Microsoft desprotegido y a disposición del público. Estaba alojado en el servicio en la nube Azure de Microsoft y en él se guardaba información interna. El conjunto de datos incluía:

• Código
• Scripts
• Contraseñas
• Credenciales de usuario, que los empleados de Microsoft utilizaban para acceder a otros sistemas internos.

Aunque los investigadores notificaron el problema a Microsoft el 6 de febrero, el problema no se resolvió hasta el 5 de mayo. Se desconoce si alguien, salvo los investigadores, había accedido al servidor, ya que no estaba protegido con contraseña. Un caso similar ocurrió a principios de 2020.

De incógnito, ¿En serio?

Lo que ha pasado: Google eliminará miles de millones de registros de los usuarios del navegador Chrome en modo Incógnito.

Cómo ocurrió: En 2020, se presentó una demanda colectiva de 5.000 millones de dólares contra Google por recopilar los datos de los usuarios del modo Incógnito del navegador Chrome. En un principio, los representantes de la corporación querían llegar a un acuerdo antes del juicio, pero el juez denegó la petición. Argumentó que la descripción del modo «Incógnito» no informaba plenamente a los usuarios de las acciones de la empresa.

Finalmente, Google llegó a un acuerdo con los demandantes, según el cual la empresa actualizaría la descripción de la página de inicio del modo «Incógnito», así como eliminaría algunos datos sobre los usuarios de dicho modo. Además, un portavoz de la corporación dijo que la empresa estaba «encantada de borrar datos técnicos antiguos que nunca se asociaron a un individuo y nunca se utilizaron para ninguna forma de personalización».

Filtración de datos al estilo Insider

Qué ocurrió: se filtraron datos de 7,5 millones de clientes del fabricante indio de electrónica boAt.

Cómo ocurrió: el 5 de abril, un hacker apodado «ShopifyGUY» subió a la darknet una base de datos de clientes de la empresa india boAt. El conjunto de datos incluía la siguiente información sobre los clientes: 

• Nombres
• Direcciones
• Números de teléfono
• Correos electrónicos, etc.

Según el hacker, la filtración se produjo en marzo y afectó a 7,5 millones de clientes de la empresa.
Los representantes de la empresa india dijeron que la investigación estaba en curso, pero no revelaron ningún detalle. Sin embargo, según los medios de comunicación, la filtración se produjo por negligencia de los empleados.

Al principio, los expertos dudaron de la autenticidad de los datos, ya que el valor de la base de datos filtrada era de sólo 2 dólares. Sin embargo, últimamente varios medios indios han confirmado la autenticidad de la información.

Hackeo a Marine

Qué ocurrió: unos ciberdelincuentes piratearon la empresa de venta de yates MarineMax y obtuvieron acceso a información confidencial sobre sus clientes y empleados.

Cómo ocurrió: el 1 de abril, los representantes de MarineMax, el principal minorista de yates del mundo, afirmaron que un tercero desconocido había conseguido acceder sin autorización a partes del entorno de información de la empresa. Como consecuencia del incidente, se interrumpieron algunos procesos empresariales y se filtraron algunos datos sensibles, incluidos datos personales.

El grupo Rhysida reivindicó la autoría del ataque y puso a la venta la base de datos de la empresa por 15 BTC (aproximadamente un millón de dólares). Como prueba de autenticidad, el grupo compartió varias capturas de pantalla, que contienen lo siguiente:

• Documentos financieros de MarineMax
• Permisos de conducir de los empleados
• Pasaportes de los empleados y mucho más.

Pandas en peligro

Lo ocurrido: La plataforma de negociación PandaBuy fue víctima de un ciberataque que provocó la filtración de datos de más de un millón de clientes.

Cómo ocurrió: El 1 de abril, dos actores maliciosos, conocidos como Sanggiero e IntelBroker, subieron a la darknet la base de datos de la importante plataforma online PandaBuy. Los atacantes consiguieron robar información como:

• Nombre completo
• ID de usuario
• Número de teléfono
• Dirección IP
• Fechas y números de pedido
• Dirección particular
• Código postal, etc.

Los piratas informáticos afirmaron que «los datos fueron robados explotando varias vulnerabilidades críticas en la API de la plataforma y se identificaron otros fallos que permitían acceder al servicio interno del sitio web».

La propia empresa aún no se ha pronunciado sobre la filtración, pero al parecer PandaBuy está intentando ocultar el incidente censurando las publicaciones de los usuarios en Discord y Reddit.

Forasteros en casa

Lo ocurrido: La cadena minorista estadounidense The Home Depot fue víctima de un ataque a su cadena de suministro.

Cómo ocurrió: El 4 de abril, un hacker conocido como «IntelBroker» subió a la darknet la base de datos de The Home Depot. Según la propia declaración del hacker, contenía los datos corporativos de unos 10.000 empleados de la cadena minorista.

The Home Depot no negó la filtración. Los responsables de la empresa declararon que la filtración se produjo debido a un error cometido por los empleados de uno de sus proveedores de SaaS, que proporcionaron inadvertidamente una pequeña muestra de datos (nombres, correos electrónicos, identificadores de usuario) sobre los empleados durante las pruebas del sistema.

Total falta de confidencialidad médica

Qué ocurrió: la empresa de telemedicina Cerebral fue multada con 7 millones de dólares por compartir datos confidenciales.

Cómo ocurrió: la Comisión Federal de Comercio de Estados Unidos (FTC) ha multado a la empresa de telemedicina Cerebral por ceder información sensible de sus clientes a terceros con fines publicitarios.

Según los responsables del regulador, Cerebral transfirió datos de más de 3 millones de usuarios a plataformas como LinkedIn, Snapchat y TikTok. Los datos se recopilaron a través de un sitio web que utilizaba aplicaciones y servicios de seguimiento. Los datos transmitidos incluían:

• Nombres
• Información médica
• Direcciones
• Números de teléfono
• Fechas de nacimiento
• Direcciones IP
• Información sobre seguros y otros datos.

Documentos confidenciales Amenaza interna