Menta

Blog

5 grandes casos de fuga de datos y cómo pudieron evitarse

Estos casos de fuga de datos pudieron haberse evitado con estrategias completas de ciber resiliencia.

Ciberataques, robo de datos, virus, suplantación de identidad y fraudes financieros, son vulnerabilidades que suceden todo el tiempo en el ciberespacio. Todo aquel que cuente con una conexión a internet puede ser víctima de ello, desde personas que utilizan redes sociales, hasta grandes corporativos financieros. 

Según la firma de consultoría PwC, las empresas mexicanas planean incrementar este 2019 hasta en un 68% su inversión en infraestructura de seguridad y hasta un 70.2% en detección de malware y medidas de prevención, ya que 8 de cada 10 empresas registradas, ha sufrido algún tipo de ataque cibernético (según información de reportes de IMPERVA 2019).

¿Sabes si la información de tu empresa que manejan terceros está comprometida?

La cultura de la ciberseguridad se transforma todo el tiempo, y es normal que las organizaciones aún piensen en el tema de seguridad como una posibilidad de reaccionar ante las amenazas en lugar de generar estrategias para prevenirlas. Sin embargo, es un error. 

Monitorear los diferentes entornos de tu ecosistema digital, te ayudará a reducir los riesgos e incidentes en tus aplicaciones

Hoy en día, es necesario que las empresas adopten una estrategia de resiliencia cibernética que prevenga y evite los riesgos, y no sólo opten por crear medidas de reacción inmediatas ante las agresiones a sus sistemas. Esta última opción, que suele ser la más frecuente,  sitúa a las organizaciones en un lugar de constante vulnerabilidad hasta que decidan invertir en estrategias completas que involucren a todas sus áreas. 

Beneficia a tu negocio con la resiliencia tecnológica

Es común pensar que los ataques provienen de hackers expertos que pueden vulnerar cualquier sistema pero no es así. La precariedad de las tecnologías (o su mala ejecución) que usan las empresas que no cuentan con estrategias de seguridad modernas, hacen que la fuga o el robo de datos sea una tarea fácil para cualquier persona con medianos conocimientos en el tema. 

En México, el fraude cibernético más usual tiene que ver con la industria e-Commerce. En cifras de la Condusef del 2018, las quejas por fraudes en este sector representa un monto total de 9 millones 517 mil pesos a través de 7 millones 300 mil 575 denuncias formales. 

Aunque no sólo en nuestro país ocurren ciberataques, estos son algunos de los casos de robo de datos más impactantes de los últimos tiempos. 

1.- NETFLIX

El pasado 13 de mayo, la empresa de resiliencia cibernética UpGuard, dio a conocer una investigación en la que encontró una gran cantidad de datos confidenciales almacenados por Attunity, una firma de soluciones de integración de datos y gestión de big data, dispuestos en 3 depósitos sin protección de Amazon S3.

Estos depósitos contenían 750 gigas de copias de seguridad de emails, además de cuentas de OneDrive de trabajadores con sus direcciones de correo electrónico, contraseñas, información de ventas y marketing. Además de la base de datos de Netflix. 

Tras el descubrimiento, UpGuard informó a Attunity sobre la filtración de datos y estos procedieron rápidamente a cifrar los depósitos. Y aunque UpGuard envió pruebas con cadenas de verificación de dicha base a Netflix, aún no hay una postura de la empresa de entretenimiento online ante la exposición pública de los datos de sus clientes. 

Sin embargo, en el informe correspondiente, se concluye con una valiosa lección para las empresas que aún no utilizan estrategias completas de resiliencia cibernética: “Las estaciones de trabajo de los usuarios pueden estar protegidas contra la intrusión de los atacantes, pero otros procesos de TI pueden copiar y exponer los mismos datos valorados por los atacantes. […]  Los datos no son seguros si las configuraciones erróneas y los errores de proceso exponen esos datos a la Internet pública”.

Prevenga las fugas de datos y proteja la confianza de sus clientes

2.- Filtración del padrón electoral del INE

El 20 abril de 2016, el Instituto Nacional Electoral (INE) presentó una denuncia penal ante la Fiscalía Especializada para la Atención de Delitos Electorales, al enterarse que una copia de la lista del padrón electoral del 2015, se encontraba albergada en un contenedor público de Amazon. 

La lista contenía 93.4 millones de nombres de ciudadanos con sus respectivos domicilios en todo el país, incluidas las copias de sus credenciales para votar. Chris Vickery, quien en ese entonces trabajaba para la empresa de seguridad informática MacKeeper, descubrió esta lista de datos sin saber que era confidencial e ilegal. 

A través de una entrada en su blog, Vickery relata cómo hizo este descubrimiento en aquel 14 de abril. Sucedió en una conferencia sobre fuga de datos que ofreció en el Centro de Estudios Gubernamentales e Internacionales de la Universidad de Harvard cuando expuso dicha base de datos y un estudiante mexicano le confirmó que se trataba del padrón electoral mexicano. 

El ahora director de Investigación de Riesgo Cibernético en UpGuard, informó de inmediato al Departamento de Estado de los Estados Unidos, a la embajada mexicana en Washington, al propio INE y a Amazon. La Dirección Ejecutiva del Registro Federal de Electores (DERFE) realizó las acciones necesarias para dar de baja dicha información albergada en Amazon, sin embargo, transcurrieron 8 días para que ésta fuera bloqueada. 

Este es un caso típico de sustracción de datos que no involucra ataques directos a un ecosistema, sino que funciona gracias a la inadecuada protección de datos que se manejan dentro de una organización y que podría evitarse con una estrategia integral de ciber resiliencia. 

3.- KPMG México

KPMG es una de las firmas de consultoría más grandes del mundo, que en México ofrece servicios de auditoría, asesoramiento legal y fiscal a firmas como la Operadora de Hospitales Ángeles, FEMSA, el Club Premier de la línea aérea Aeroméxico y la administradora Profuturo GNP, entre muchas otras. 

En enero del 2019, identificó que algunos de sus clientes habían sido presa del robo de datos a través de terceros. Según información de periódico El Economista, los empleados de KGMG descargaron sin autorización millones de comprobantes fiscales digitales del Servicio de Administración Tributaria (SAT) y con ellos crearon una base de datos abierta a cualquier tipo de usuario en internet, desde noviembre de 2018 a enero de 2019. 

Desafortunadamente, estas intrusiones cibernéticas no siempre provienen de la mano de desconocidos. En el caso de KPMG un grupo de empleados utilizó el servicio de almacenamiento Azure Blob Storage de Microsoft para hospedar la información confidencial sin contraseñas ni controles de seguridad de los clientes de dicha empresa.

Cuando un ataque de este tipo ocurre, los sistemas operativos son blanco de diversos análisis o de ataques discretos diseñados para descubrir vulnerabilidades. 

Una forma de prevenir esta situación, puede ser a través de la interpretación de los datos históricos de monitoreo. Cuando las empresas cuentan con estrategias que les permiten saber en dónde se puede originar un problema, pueden anticipar un plan de emergencia para restaurar sus servicios o prevenir la fuga de información en el menor tiempo posible. Además de ayudarles a hacer inversiones certeras en nuevas tecnologías que sí se ajusten a sus necesidades. 

4.-  Importante medio digital 

Gracias a un informe de la compañía de ciberseguridad UpGuard Cyber Risk, se dio a conocer que un conjunto de datos de 146 gigabytes, que contienen 540 millones de registros con comentarios, gustos, reacciones, nombres de cuentas e identificaciones de la red social Facebook, fueron almacenados por el medio de información Cultura Colectiva y puestos a disposición del público para descargar, a través del servicio de almacenamiento S3 de Amazon Web Services. 

Según UpGuard, este tipo de incidente es semejante al que ocurrió con Cambridge Analytica en el año 2018, cuando los datos fueron utilizados para manipular algoritmos e información que se proporciona a los usuarios. 

Aunque la empresa de ciberseguridad se encargó de notificar a Cultura Colectiva de dicha situación en enero de 2019 a través de un comunicado, fue hasta el 3 de abril que en colaboración con Amazon, el equipo de Facebook se encargó de cerrar dicha base de datos. 

Ahora sabemos que las fugas de datos no siempre están relacionadas a un ataque cibernético, estas situaciones pueden controlarse a tiempo con una estrategia de monitoreo que permita buscar, identificar y notificar fugas de datos en una organización. De esta manera, aunque una fuga logre traspasar los controles de seguridad y políticas de privacidad, se tendrá una salvaguarda que permitirá reaccionar rápidamente ante cualquier riesgo de fuga.   

Implemente el Monitoreo de Riesgo Cibernético en su empresa y prevenga vulnerabilidades en su seguridad con UpGuard. 

5.- Uber  

En el año 2016, el presidente ejecutivo de Uber, Dara Khosrowshasi, informó que un equipo de hackers accedió a los sistemas de la compañia y robó datos personales de 57 millones de sus clientes en todo el mundo (entre ellos 1 millón de mexicanos afectados), incluidos nombres, licencias de conducir, direcciones de email y números celulares. 

Aunque Uber trató de ocultar el hecho por más de 1 año pagando a los hackers 100,000 dólares a cambio de eliminar la información sustraída, el incidente salió a la luz pública en marzo del 2018, según un informe de Check Point Software Technologies, empresa que publicó dicho ataque. 

A pesar de existir una solicitud por parte de la autoridad de protección de datos personales de México, el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) en contra de UBER, el diario El Economista, reporta que hasta la fecha no hay información que precise una multa o que explique lo que sucedió con los datos de mexicanos afectados en esta situación.

Resiliencia: mucho más que un plan de ciberseguridad

Estos casos de fuga de datos muestran la importancia de tener una estrategia de seguridad que vaya más allá de la respuesta inmediata ante posibles ataques cibernéticos, y que, sin importar el tamaño o renombre de las empresas, cualquier persona o negocio está expuesto a que ocurra una fuga de datos propios o de sus clientes a manos de terceros o de sus mismos empleados. 

En México, MENTA NETWORK es representante certificado y calificado para operar las tecnologías de UpGuard, firma líder global en soluciones de resiliencia cibernética, como Cyber Risk, que ayudarán a los equipos de Tecnología y a las compañías en general a  obtener la evaluación externa más completa de las vulnerabilidades que los servicios de terceros presentan en su ecosistema, a través de una clasificación de seguridad CSTAR, que determina los niveles de riesgo de terceros. 

Además proporciona una poderosa solución de monitoreo que busca, identifica y notifica fugas de datos, lo que permite reaccionar de manera rápida y adecuada a la contingencia del problema. 

Si quiere saber más de los servicios de UpGuard en México y cómo pueden beneficiar a su negocio, contáctenos, podemos ayudarle. 

Contáctanos

Por favor introduce tus datos y nos pondremos en contacto contigo.