Un ciberataque contra Phone House expone los datos bancarios de millones de clientes españoles
Un ciberataque de tipo ransomware secuestró la semana pasada varias bases de datos de la división española de Phone House. Los cibercriminales amenazaron entonces con publicar los datos de 13 millones de clientes y trabajadores de la compañía si esta no pagaba el rescate que exigían por recuperarlos. Este miércoles el grupo Babuk, que se ha atribuido la acción, ha seguido con la extorsión y ha publicado en la dark web una parte de los datos que asegura tener en su poder, unos 100 gigas de información sensible.
La filtración afecta a nombres, números de DNI, cuentas bancarias, teléfonos, correos electrónicos, direcciones físicas, fechas de nacimiento y lugar de trabajo de millones de clientes españoles. Los clientes de Phone House pueden comprobar en Have I Been Pwned? si están entre los afectados. Se trata de un portal que recoge datos sobre brechas de datos personales desarrollado por Troy Hunt, un alto directivo de Microsoft. El Instituto Nacional de Ciberseguridad (Incibe) recomienda consultarlo periódicamente para comprobar si nuestros datos personales se han visto afectados por una de estas filtraciones.
Los cibercriminales afirman que la información expuesta contiene datos de tres millones de clientes. Atendiendo a las direcciones de email que Hunt ha añadido a Have I Been Pwned a partir de esta filtración, la brecha habría afectado a unos 5,2 millones.
En caso de ver expuestos nuestros datos, la recomendación de los expertos es cambiar de inmediato las contraseñas de los servicios afectados (y cualquier otro en el que se haya fijado la misma clave) y notificar lo ocurrido a la entidad bancaria. También es necesario extremar la precaución ante la posibilidad de que otros grupos de cibercriminales utilicen la información para llevar a cabo ataques de suplantación de identidad. "Con la dirección, nombre completo o fecha de nacimiento de un usuario se pueden añadir factores de veracidad a ese ataque para que la víctima caiga en la trampa mucho más fácilmente", avisaba recientemente a este medio Ruth García, técnico del Incibe.
elDiario.es se ha puesto en contacto con Phone House antes de publicar esta información, pero no ha recibido respuesta. La normativa de protección de datos obliga a la empresa a comunicar el ciberataque a los clientes que han sido víctimas de la filtración. En caso de que se demuestre que la brecha ha sido una consecuencia de una infracción por parte de la compañía, los afectados podrían reclamar una indemnización por daños y perjuicios.
Babuk es un grupo de ciberlincuentes que ha desarrollado su propio ataque de ransomware (del inglés ransom, rescate) con el que ha asaltado al menos cinco compañías este 2021, explica la firma de ciberseguridad McAfee. "Una de las empresas ya ha pagado a los delincuentes 85.000 dólares tras las negociaciones. Al igual que otras variantes, este ransomware se despliega en la red de las empresas a las que los delincuentes apuntan y comprometen cuidadosamente", detallan: "El grupo apunta actualmente a los sectores del transporte, la sanidad, el plástico, la electrónica y la agricultura en múltiples geografías".
España es uno de los países que Babuk ha intentado atacar con mayor intensidad, aunque los expertos de McAfee explican que "la escasa difusión del ransomware puede indicar que quienes están detrás de él no trabajan dentro de un grupo organizado o con otros socios". Los cibercriminales que se han identificado como parte del grupo en foros de piratería se han expresado tanto en inglés como en ruso.
Los ataques de ransomware aumentaron un 300% del 2019 a 2020, según los datos Karspersky, otra firma de ciberseguridad. En marzo uno de ellos afectó al SEPE, que pasó varios días paralizado y aún no ha podido recuperar por completo su actividad normal. La recomendación de los expertos es no pagar a los cibercriminales, puesto que esto tampoco es una garantía de que devolverán los archivos o que no intentarán continuar con la extorsión o pedir más dinero.