Un ciberataque apunta a los clientes de Macy's

El 2 de julio, la oficina del Fiscal General de New Hampshire recibió una carta de Macy's Inc. que revelaba que algunos de los clientes del minorista habían sido blanco de un ataque cibernético.

¿Cuándo sucedió todo?

Los clientes afectados tenían cuentas en macys.com y bloomingdales.com, y Macy's se enteró de la intrusión cuando una actividad inusual de inicio de sesión disparó los sistemas de seguridad de la compañía el 11 de junio. Después de una investigación adicional, se reveló que una parte no autorizada había estado utilizando credenciales válidas para acceder a los clientes de Macy's durante aproximadamente un mes y medio. La carta no dice por qué el personal de TI de Macy's no notó el ataque antes.

¿Cómo entraron los hackers?

La gente de seguridad de Macy's reconoce que su sistema no ha sido comprometido. Piensan que los delincuentes robaron las combinaciones de nombre de usuario y contraseña de otro lugar, y hay que decir que, aunque ningún investigador independiente parece haber confirmado o negado esto, es una teoría perfectamente posible.

La reutilización de contraseña desenfrenada que vemos todos los días significa que, a menudo, los piratas informáticos no necesitan comprometer la seguridad de un sitio web bancario para entrar en las cuentas bancarias de los usuarios. En cambio, simplemente pueden robar contraseñas de un sitio web pequeño y oscuro que almacena las credenciales de las personas en texto plano y luego probarlas en varias cuentas en línea diferentes. El ataque se llama relleno de credenciales y, por desgracia, a veces es implacablemente efectivo.

¿Qué robaron los hackers?

Por alguna razón, no se reveló el número de clientes afectados. La naturaleza de los datos expuestos, sin embargo, era. Macy's admitió que una vez que entraron, los piratas informáticos pudieron huir con:

• Nombres
• Direcciones físicas
• Correos electrónicos
• Fechas de nacimiento
• Números de tarjeta de crédito y fechas de vencimiento

La carta de notificación de violación de datos del minorista de moda dice que su sistema de pago no almacena CVV o números de Seguro Social, pero como todos sabemos, hay sitios web que no requieren un CVV para procesar los pagos.

Parece que los ladrones no estaban satisfechos con lo que encontraron. La carta al Fiscal General establece que hay evidencia que apunta a un segundo ataque. Aparentemente, los piratas informáticos intentaron acceder a los datos cifrados de la tarjeta de crédito del propio sistema de Macy. Si bien es un poco vago, la redacción de la carta sugiere que los intentos no tuvieron éxito, y la compañía también señala que el ataque estaba dirigido a tarjetas patentadas que no se pueden usar fuera de Macy's.

¿Qué hizo Macy's sobre el ataque?

Al ver la actividad de inicio de sesión sospechosa, el equipo de TI de la compañía estableció de inmediato medidas temporales para mitigar el riesgo y, en 24 horas, detuvieron el ataque por completo. Los datos financieros de las cuentas afectadas se eliminaron y las cuentas mismas se bloquearon. En este momento, si el ataque te afecta, no puedes iniciar sesión hasta que cambies tu contraseña.

Luego, la compañía comenzó a escribir un informe bastante detallado de lo sucedido, con consejos sobre lo que las personas pueden hacer en caso de que hayan sido víctimas del ataque. La carta de Macy insta a todos los usuarios afectados a revisar sus estados de cuenta bancarios regularmente y explica cómo también pueden solicitar informes de crédito anuales de las tres principales agencias de crédito. La compañía también ha acordado brindar a las víctimas un año de servicios de protección contra robo de identidad a través de AllClear ID de forma gratuita.. Dado que los detalles de la tarjeta de pago se han visto comprometidos, los usuarios pueden ponerse en contacto con los emisores y buscar las mejores formas de protegerse contra pagos fraudulentos.

Todo esto es, por supuesto, muy importante, especialmente cuando parte de la información expuesta podría conducir a pérdidas financieras significativas. Sin embargo, el mejor consejo después de tal ataque es: no reutilice sus contraseñas.