Ciberseguridad de los clientes bajo amenaza después de que Avon informa un "incidente cibernético"

A raíz de un ciberataque, la empresa objetivo debe revelar rápidamente tantos detalles como sea posible. Debe explicar qué tipo de ataque ha sufrido, quién podría verse afectado y cuáles podrían ser las consecuencias para los usuarios individuales. Por razones que no están claras por ahora, el minorista internacional de cosméticos Avon parece estar luchando con esto.

El 9 de junio, la compañía publicó un formulario 8-K con la Comisión de Bolsa y Valores de los Estados Unidos (SEC), que explicaba que Avon había sufrido lo que la presentación llamó "un incidente cibernético en su entorno de Tecnología de la Información". El minorista dijo que algunas de sus operaciones se vieron afectadas, pero insistió en que todavía no estaba del todo seguro de qué tan grande había sido el ataque. Tres días después, Avon presentó otra presentación de 8-K con una actualización sobre el "incidente cibernético". Según él, la compañía estaba reiniciando algunos de los sistemas atacados y todavía estaba en el proceso de determinar qué había sucedido exactamente. Por primera vez, mencionó que algunos datos personales podrían haber sido comprometidos, aunque fue rápido señalar que los datos de la tarjeta de crédito de las personas probablemente no se verán afectados.

Esto casi resume la información oficial que ha salido de la compañía, y debe aceptar que deja bastantes preguntas abiertas. La gente ha estado tratando de responderlas.

Los clientes y los investigadores de seguridad se preguntan qué está pasando.

Una cosa que es segura es que el ataque fue bastante grave. Incluso ahora, más de una semana después de la primera presentación de 8-K, los sitios web de varias sucursales de Avon en todo el mundo están caídos. En algunos casos, los usuarios ven un mensaje que les dice que el sitio web está siendo revisado, mientras que otros simplemente dicen que no está disponible en este momento.

La naturaleza exacta del ataque no fue revelada en las presentaciones de la SEC, lo que ha llevado a mucha especulación. En enero, por ejemplo, una empresa brasileña llamada Natura & Co. compró una participación mayoritaria en Avon. En mayo, alrededor de 250 mil clientes de Natura se vieron afectados por una fuga de datos importante, y previsiblemente, la gente ahora se pregunta si los dos incidentes podrían estar conectados. Mientras tanto, los operadores de una importante familia de ransomware se han atribuido la responsabilidad del ataque.

DoppelPaymer: Atacamos a Avon

El ransomware DoppelPaymer ya existe desde hace un tiempo y ha estado involucrado en bastantes ataques importantes contra grandes organizaciones y empresas. El año pasado, junto con algunas otras amenazas importantes de ransomware, agregaron un giro siniestro a sus operaciones.

Por lo general, el único objetivo del ataque de ransomware es cifrar los archivos de la víctima y chantajearlos para pedir un rescate. Sin embargo, en 2019, los operadores detrás de DoppelPaymer, Maze y un par de otras cepas de ransomware comenzaron a robar datos antes de mezclarlos. De esa manera, cuando la compañía objetivo se niega a pagar por un descifrador, los delincuentes pueden amenazar con filtrar la información robada al mundo entero. Si los datos robados son confidenciales y la víctima aún no está dispuesta a pagar, los delincuentes también pueden venderlos en la web oscura.

Los operadores de DoppelPaymer establecieron un sitio web especial donde primero publican los nombres de sus víctimas y luego filtran datos confidenciales si se niegan a ceder ante la extorsión. El bien llamado Doppel Leaks ha estado operando desde febrero, y según una compañía de pruebas de penetración polaca llamada Niebezpiecznik, el nombre de Avon apareció recientemente en él. ¿Pero eso realmente significa que Avon fue golpeado por DoppelPaymer?

La evidencia ciertamente apunta a un ataque de ransomware. El hecho de que algunos de los sistemas se hayan desconectado y aún no se hayan restaurado sugiere que los datos que contienen pueden estar codificados. Sin embargo, como puede ver, no se trata solo de datos cifrados. La información confidencial que pertenece a Avon, sus empleados y sus clientes podría filtrarse en cualquier momento, y las personas deben estar atentas a cualquier posible ataque que pueda resultar de esto.

Como dijo Paul Ducklin de Sophos, incluso Avon podría no ser completamente consciente de lo que sucedió exactamente en este punto, pero debe funcionar para descubrir lo más rápido posible e informar los hechos al público. Esa es la única forma en que las personas pueden saber qué tipo de riesgo enfrentan.