Estamos casi al final de 2024, un año que se recordará por haber visto algunas de las filtraciones de datos más grandes y dañinas de la historia reciente. Y justo cuando crees que algunos de estos trucos no pueden empeorar, lo hacen.
Desde enormes almacenes de información personal de clientes robados, robados y publicados en línea, hasta grandes cantidades de datos médicos robados que cubren a la mayoría de las personas en los Estados Unidos, las peores filtraciones de datos de 2024 han superado los mil millones de registros robados y siguen aumentando. Estas violaciones no sólo afectan a las personas cuyos datos quedaron irremediablemente expuestos, sino que también envalentonan a los delincuentes que se benefician de sus ciberataques maliciosos.
Viaje con nosotros al pasado no muy lejano para observar cómo se produjeron algunos de los mayores incidentes de seguridad de 2024, su impacto y, en algunos casos, cómo se podrían haber detenido.
Las filtraciones de datos de AT&T afectan a “casi todos” sus clientes y a muchos más no clientes
Para AT&T, 2024 ha sido un muy mal año para la seguridad de los datos. El gigante de las telecomunicaciones confirmó no una, sino dos filtraciones de datos distintas con apenas unos meses de diferencia.
En julio, AT&T dijo que los ciberdelincuentes habían robado un caché de datos que contenía números de teléfono y registros de llamadas de “casi todos” sus clientes, o alrededor de 110 millones de personas, durante un período de seis meses en 2022 y, en algunos casos, más. Los datos no fueron robados directamente de los sistemas de AT&T, sino de una cuenta que tenía con el gigante de datos Snowflake (más sobre esto más adelante).
Aunque los datos robados de AT&T no son públicos (y Un informe sugiere que AT&T pagó un rescate para que los piratas informáticos eliminaran los datos robados.) y los datos en sí no contienen el contenido de llamadas o mensajes de texto, los “metadatos” aún revelan quién llamó a quién y cuándo, y en algunos casos los datos pueden usarse para inferir ubicaciones aproximadas. Peor aún, los datos incluyen números de teléfono de no clientes a quienes llamaron clientes de AT&T durante ese tiempo. Que los datos se hagan públicos podría ser peligroso para las personas de mayor riesgo, como los sobrevivientes de abuso doméstico.
Esa fue la segunda filtración de datos de AT&T este año. A principios de marzo, un agente de violación de datos volcó en línea un caché completo de 73 millones de registros de clientes en un conocido foro de cibercrimen para que cualquiera pudiera verlo, unos tres años después de que una muestra mucho más pequeña fuera objeto de burlas en línea.
Los datos publicados incluían información personal de los clientes, incluidos nombres, números de teléfono y direcciones postales, y algunos clientes confirmaron que sus datos eran precisos.
Pero no fue hasta que un investigador de seguridad descubrió que los datos expuestos contenían códigos de acceso cifrados utilizados para acceder a la cuenta de AT&T de un cliente que el gigante de las telecomunicaciones tomó medidas. El investigador de seguridad le dijo a TechCrunch en ese momento que los códigos de acceso cifrados podrían descifrarse fácilmente, lo que pondría a unos 7,6 millones de cuentas de clientes de AT&T existentes en riesgo de secuestro. AT&T restableció por la fuerza las contraseñas de las cuentas de sus clientes después de que TechCrunch alertara a la empresa sobre los hallazgos del investigador.
Queda un gran misterio: AT&T aún no sabe cómo se filtraron los datos ni de dónde vinieron.
Los piratas informáticos de Change Healthcare robaron datos médicos de una “proporción sustancial” de personas en Estados Unidos
En 2022, el Departamento de Justicia de EE. UU. demandó al gigante de seguros de salud UnitedHealth Group para bloquear su intento de adquirir el gigante de tecnología de la salud Change Healthcare, por temor a que el acuerdo daría al conglomerado de atención sanitaria un amplio acceso a aproximadamente “la mitad de todas las reclamaciones de seguro médico de los estadounidenses” cada año. El intento de bloquear el acuerdo finalmente fracasó. Luego, dos años después, sucedió algo mucho peor: Change Healthcare fue pirateado por una prolífica banda de ransomware; sus todopoderosos bancos de datos de salud confidenciales fueron robados porque uno de los sistemas críticos de la empresa no estaba protegido con autenticación multifactor.
El prolongado tiempo de inactividad causado por el ciberataque se prolongó durante semanas y provocó cortes generalizados en hospitales, farmacias y centros de atención médica en todo Estados Unidos. Pero las consecuencias de la violación de datos aún no se han conocido por completo, aunque es probable que las consecuencias para los afectados sean irreversibles. UnitedHealth dice que los datos robados, que pagó a los piratas informáticos para obtener una copia, incluyen información personal, médica y de facturación de una “proporción sustancial” de personas en Estados Unidos.
UnitedHealth aún tiene que dar una cifra de cuántas personas se vieron afectadas por la infracción. El director ejecutivo del gigante de la salud, Andrew Witty, dijo a los legisladores que la infracción podría afectar a alrededor de un tercio de los estadounidenses, y potencialmente a más. Por ahora, es sólo una cuestión de cuántos Cientos de millones de personas en Estados Unidos se ven afectadas.
El ataque de ransomware Synnovis provocó cortes generalizados en hospitales de Londres
Un ciberataque en junio al laboratorio de patología del Reino Unido Synnovis (un laboratorio de análisis de sangre y tejidos para hospitales y servicios de salud en toda la capital del Reino Unido) provocó una interrupción generalizada de los servicios a los pacientes durante semanas. Los fideicomisos del Servicio Nacional de Salud local que dependen del laboratorio pospusieron miles de operaciones y procedimientos tras el ataque, lo que provocó la declaración de un incidente crítico en todo el sector sanitario del Reino Unido.
Se culpó a una banda de ransomware con sede en Rusia por el ciberataque, que vio el robo de datos relacionados con unos 300 millones de interacciones con pacientes que se remonta a un “número significativo” de años. Al igual que la filtración de datos en Change Healthcare, las ramificaciones para los afectados probablemente serán significativas y duraderas.
Algunos de los datos ya se publicaron en línea en un esfuerzo por extorsionar al laboratorio para que pagara un rescate. Synnovis supuestamente se negó a pagar el rescate de 50 millones de dólares a los piratas informáticosimpidiendo que la pandilla se beneficie del hack pero saliendo El gobierno del Reino Unido lucha por un plan. en caso de que los piratas informáticos publicaran millones de registros médicos en línea.
Según se informa, uno de los fideicomisos del NHS que gestiona cinco hospitales de Londres afectados por los cortes no cumplió con los estándares de seguridad de datos exigidos por el servicio de salud del Reino Unido en los años previos al ciberataque de junio a Synnovis.
A Ticketmaster le robaron supuestamente 560 millones de registros en el hack de Snowflake
Una serie de robos de datos del gigante de datos en la nube Snowflake rápidamente se convirtió en una de las mayores filtraciones del año, gracias a las grandes cantidades de datos robados de sus clientes corporativos.
Los ciberdelincuentes robaron cientos de millones de datos de clientes de algunas de las empresas más grandes del mundo, incluidas unos supuestos 560 millones de registros de Ticketmaster, 79 millones de registros de Advance Auto Parts y unos 30 millones de registros de TEG, mediante el uso de credenciales robadas de ingenieros de datos con acceso a los entornos Snowflake de sus empleadores. Por su parte, Snowflake no exige (ni obliga) a sus clientes a utilizar la función de seguridad, que protege contra intrusiones que se basan en contraseñas robadas o reutilizadas.
La firma de respuesta a incidentes Mandiant dijo que a alrededor de 165 clientes de Snowflake les robaron datos de sus cuentas, en algunos casos un “volumen significativo de datos de clientes”. Hasta ahora, sólo un puñado de las 165 empresas han confirmado que sus entornos estaban comprometidos, lo que también incluye decenas de miles de registros de empleados de Marco Neiman y Banco Santandery millones de registros de estudiantes en el Distrito Escolar Unificado de Los Ángeles. Espere que muchos clientes de Snowflake se presenten.
Menciones (des)honrosas
Cencora notifica a más de un millón y contando que perdió sus datos:
El gigante farmacéutico estadounidense Cencora reveló en febrero una filtración de datos que comprometió los datos de salud de los pacientes, información que Cencora obtuvo a través de sus asociaciones con fabricantes de medicamentos. Cencora se ha negado rotundamente a decir cuántas personas están afectadas, pero un recuento de TechCrunch muestra que hasta ahora se ha notificado a más de un millón de personas. Cencora dice que ha atendido a más de 18 millones de pacientes hasta la fecha.
La violación de datos de MediSecure afecta a la mitad de Australia:
A cerca de 13 millones de personas en Australia (aproximadamente la mitad de la población del país) les robaron datos personales y de salud en un ataque de ransomware al proveedor de recetas MediSecure en abril. MediSecure, que distribuyó recetas para la mayoría de los australianos hasta finales de 2023, insolvencia declarada poco después del robo masivo de datos de clientes.
Kaiser compartió datos de salud de millones de pacientes con anunciantes:
El gigante estadounidense de seguros de salud Kaiser reveló una violación de datos en abril después de compartir inadvertidamente la información de salud privada de 13,4 millones de pacientes, específicamente términos de búsqueda en sitios web sobre diagnósticos y medicamentos, con empresas de tecnología y anunciantes. Kaiser dijo que utilizó su código de seguimiento para análisis de sitios web. El proveedor de seguros de salud reveló el incidente a raíz de otras nuevas empresas de telesalud, como Cerebral, Monument y Tempest, admitiendo que ellas también compartieron datos con los anunciantes.
USPS también compartió dirección postal con gigantes tecnológicos:
Y luego fue el turno del Servicio Postal de EE. UU. que fue sorprendido compartiendo direcciones postales de usuarios registrados con anunciantes como Meta, LinkedIn y Snap, utilizando un código de seguimiento similar proporcionado por las empresas. USPS eliminó el código de seguimiento de su sitio web después de que TechCrunch notificara al servicio postal en julio sobre el intercambio inadecuado de datos, pero la agencia no dijo cuántas personas habían recopilado datos. USPS tiene más de 62 millones de usuarios de Informed Delivery en marzo de 2024.
La violación de datos de Evolve Bank afectó a clientes de fintech y startups:
En un ataque de ransomware dirigido a Evolve Bank, los ciberdelincuentes robaron la información personal de más de 7,6 millones de personas en julio. Evolve es un gigante de la banca como servicio que presta servicios principalmente a empresas y nuevas empresas de tecnología financiera, como Affirm y Mercury. Como resultado, muchas de las personas notificadas sobre la violación de datos nunca habían oído hablar de Evolve Bank, y mucho menos habían tenido una relación con la empresa, antes de su ciberataque.
National Public Data quiebra después del robo de millones de SSN
La empresa detrás del corredor de datos National Public Data se acogió al Capítulo 11 de la protección por bancarrota en octubre, meses después de que una filtración masiva de datos expusiera unos tres mil millones de registros que afectaban a alrededor de 270 millones de personas, según varios análisis realizados por investigadores de seguridad. El corredor de datos permitió a sus clientes pagos acceder a sus vastas bases de datos de nombres, fechas de nacimiento, direcciones postales y de correo electrónico, números de teléfono y números de Seguro Social (incluso si no todos los datos eran precisos). La compañía dijo que tuvo que declararse en quiebra porque ya no puede generar ingresos para hacer frente a la avalancha de demandas colectivas y la creciente responsabilidad de los reguladores estatales y federales.
Publicado por primera vez el 28 de junio y actualizado el 14 de octubre..