Home Chef, con sede en EE. UU., Insta a los clientes a cambiar las contraseñas después de que se revelara una violación de datos
A menudo hablamos de lo importante que es actuar rápidamente después de una violación de datos. Las empresas no solo necesitan asegurarse de que los ciberdelincuentes hayan sido bloqueados con éxito y se hayan tapado los agujeros de seguridad, sino que también deben informar a los clientes afectados y divulgar de manera transparente la violación al público. Incidentes como el que sucedió a la compañía de entrega de alimentos Home Chef muestra que probablemente tendremos que seguir repitiendo todo esto.
Home Chef - una de las víctimas de Shiny Hunters
A principios de mayo, un nuevo grupo de ciberdelincuentes llamó la atención de los expertos en seguridad. Se hacen llamar Shiny Hunters, y parecen tener acceso a una gran colección de información robada, que están tratando de monetizar. Primero, se puso a la venta una base de datos tomada de un popular sitio web indonesio llamado Tokopedia. Luego, trataron de cambiar 22 millones de registros robados de una plataforma educativa en línea Unacademy, y unos días después, Shiny Hunters demostró una vez más que no deben ser subestimados.
Regresaron a sus foros de piratería favoritos y anunciaron no menos de 10 violaciones de datos no reportadas anteriormente. No afirmaron ser responsables de los ataques, pero señalaron que tienen las bases de datos robadas y están dispuestos a compartirlas a cambio de algunos bitcoins.
Con un precio de entre $ 500 y $ 3,500 por conjunto de datos, la información filtrada había sido robada de varias organizaciones diferentes y, como puede imaginar, Home Chef es una de ellas. Los piratas informáticos robaron un total de 8 millones de registros de la red de entrega de alimentos, y quieren $ 2,500 para ellos. Para eso, los compradores obtienen una base de datos sustancial que incluye nombres, correos electrónicos, números de teléfono, varios bits de información relacionada con la cuenta, así como contraseñas cifradas y los últimos cuatro dígitos de las tarjetas de crédito o débito de las personas. Desafortunadamente, el algoritmo de cifrado que protege las contraseñas sigue siendo desconocido por ahora.
Home Chef esperó cerca de dos semanas antes de revelar la violación de datos
En general, los detalles sobre el ataque contra Home Chef son algo escasos, pero algunos de ustedes podrían argumentar que tenemos suerte de tener eso. La venta al por mayor de Shiny Hunters apareció por primera vez en las noticias el 9 de mayo, cuando Bleeping Computer informó al respecto. En ese momento, solo uno (un vendedor de álbumes de fotos llamado ChatBooks) de las diez organizaciones afectadas admitió que había sido blanco de ciberdelincuentes, y aunque el sitio web de noticias intentó ponerse en contacto con todos los involucrados, las otras compañías prefirieron no responder a sus correos electrónicos Home Chef es el segundo miembro de este grupo en aclarar la brecha, y la forma en que se hace resalta el enorme problema que tenemos con los incidentes de seguridad de datos y su divulgación.
Han pasado casi exactamente dos semanas desde que Shiny Hunters nos dijo por primera vez que Home Chef ha sido pirateado. Solo los piratas informáticos pueden decir cuántas personas han pagado por los datos robados durante este período, e incluso pueden hacer poco más que adivinar cuántas veces se han vuelto a compartir.
El hecho de que se pusiera a la venta no es algo que a Home Chef le gusta discutir con sus usuarios. De hecho, la página de preguntas frecuentes que creó la compañía ofrece muy poca información. No hace un muy buen trabajo al darles a los usuarios una cuenta clara de lo que sucedió, pero muestra cuántos clichés usan las empresas después de haber sido golpeados por una violación de datos. Lo único positivo es que insta a los usuarios a cambiar sus contraseñas por precaución.
Si eres usuario de Home Chef, es una buena idea hacerlo. Aquí están los pasos:
- Inicie sesión en su cuenta de Home Chef
- Haga clic en el menú desplegable Cuenta y seleccione Información de la cuenta
- Complete el formulario Cambiar su contraseña
- Haga clic en Guardar su configuración
Las empresas parecen estar convencidas de que de alguna manera pueden salvar sus rostros si comparten poca o ninguna información sobre los incidentes de seguridad cibernética por los que han pasado. Al final, sin embargo, los usuarios son los que podrían terminar en el lado equivocado de todos los diferentes ataques habilitados por las violaciones de datos, y tienen todo el derecho de saber a qué deben estar atentos. La divulgación tardía y la renuencia a compartir detalles no hacen más que poner al usuario bajo un riesgo adicional, y esto no puede ser beneficioso para la reputación de la empresa.
