MGM Resorts filtra datos privados de 10,6 millones de clientes, incluidos famosos

Catalin Cimpanu, reportero de ZDNet, fue informado sobre un volcado de datos masivo que se publicó recientemente en un foro de piratería. Echó un vistazo y se dio cuenta de que la información comprometida pertenecía a personas que se habían alojado en los hoteles de MGM Resorts. Con la ayuda de un investigador de Under the Breach, Cimpanu confirmó la legitimidad de la filtración y se puso en contacto con la cadena hotelera. Un portavoz de MGM dijo por correo electrónico que la información realmente pertenecía a los huéspedes del hotel, pero se apresuraron a señalar que los detalles de la tarjeta de crédito de las personas no estaban involucrados.

Algunos de ustedes pueden pensar que esto hace que la violación sea mucho menos peligrosa, pero como veremos en un minuto, este no es realmente el caso. Sin embargo, antes de llegar a las posibles consecuencias, veamos qué se filtró y quién tuvo acceso a él.

Los piratas informáticos robaron la información personal de más de 10,6 millones de huéspedes del hotel en 2019

La violación aparentemente ocurrió el verano pasado, y aunque no lo anunció oficialmente, MGM contactó al menos a algunas de las personas afectadas para informarles sobre el incidente. Como señaló Cimpanu, la gente discutió las notificaciones de incumplimiento en ese momento, pero la filtración no logró atraer ningún interés de los medios de comunicación, lo que, teniendo en cuenta lo que hay en el basurero, es algo extraño.

Durante el ataque, los piratas informáticos lograron huir con los datos personales de 10.683.188 huéspedes del hotel. La información filtrada incluía nombres, domicilios y direcciones de correo electrónico, números de teléfono y fechas de nacimiento. Cimpanu y el investigador de Under the Breach intentaron contactar a algunas de las personas en la base de datos, y aunque algunos de los números de teléfono ya no eran válidos, los invitados respondieron y dijeron que se habían alojado en hoteles de MGM antes de 2018.

Celebridades, reporteros y funcionarios gubernamentales también se vieron afectados

MGM Resorts es una cadena masiva de hoteles de lujo, y a la luz de esto, probablemente no debería ser demasiado sorprendente que, como muestra la base de datos filtrada, algunos nombres conocidos hayan utilizado sus ubicaciones.

Según el investigador de The Breach, ZDNet dijo que la base de datos contiene los detalles de los funcionarios de DHS y TSA, y el propio Cimpanu vio los nombres de bastantes reporteros conocidos que se han quedado en ubicaciones de MGM durante conferencias y eventos de alto perfil. La violación también golpeó a la estrella del pop Justin Bieber y al CEO de Twitter, Jack Dorsey, aunque aún se desconoce si ellos, como otros invitados, fueron informados en privado sobre el ataque.

El daño potencial es significativo.

Inevitablemente, se establecen paralelos entre la violación de MGM y el ataque de 2017 a los hoteles Marriott. Alrededor de 500 millones, el número de invitados afectados por la filtración de Marriott es mucho mayor, pero esto no significa que Dorsey, Bieber y el resto de las personas cuya información está en el basurero de MGM deberían relajarse. Los datos comprometidos ya han estado en manos de delincuentes durante al menos seis meses, y ahora están disponibles para cualquiera que quiera descargarlos. La ausencia de detalles de la tarjeta de crédito tampoco es motivo para subestimar la violación.

Para enfatizar las posibles consecuencias de la filtración, Catalin Cimpanu compartió sus pensamientos sobre cómo la información robada podría haber ayudado a los piratas informáticos a comprometer la cuenta de Twitter de Jack Dorsey. Como algunos de ustedes recordarán, en agosto del año pasado, los delincuentes secuestraron la cuenta de microblogging de Dorsey después de montar un ataque de intercambio de SIM contra él, y Cimpanu especula que podrían haber recuperado su número de teléfono de la base de datos de MGM. Por supuesto, esto es, en las propias palabras del periodista, una "teoría descabellada" que no puede ser confirmada o negada, pero el hecho es que nada de eso puede clasificarse como "imposible".

Además del intercambio de SIM, las personas afectadas por la violación de MGM también deben estar atentas a los ataques dirigidos de phishing y, dada la presencia de direcciones de origen en la base de datos, también pueden pensar en su seguridad física. Después de todo, la información ahora es pública, y nadie sabe quién podría verse tentado por el botón Descargar.