La violación de datos de T-Mobile obliga a los clientes a cambiar sus contraseñas

Durante el fin de semana, los clientes de T-Mobile comenzaron a recibir mensajes de texto que los preocuparon bastante. Su proveedor de telecomunicaciones había sufrido una violación de datos, lo que resultó en acceso no autorizado a la información del cliente, decía el breve mensaje. El ataque ya había sido detenido, y la compañía de telecomunicaciones se apresuró a señalar que los piratas informáticos no robaron ningún número de seguridad social, contraseñas o información financiera. Los usuarios que querían obtener más información fueron invitados a seguir un enlace. Es posible que algunos de ustedes ya hayan detectado algunos problemas.

Una alerta de aspecto phishy

En primer lugar, T-Mobile no había anunciado oficialmente una violación en ese momento, lo que hizo sospechar a algunas personas. Cuando recurrieron a las redes sociales para ver si podían descubrir qué estaba pasando, se dieron cuenta de que no todos los clientes de T-Mobile habían recibido el mismo mensaje de texto. Y decidieron recurrir a las redes sociales porque en lugar de decirles que contactaran a un agente de soporte de T-Mobile por teléfono, el mensaje de texto les dijo a los usuarios que siguieran una URL acortada para obtener más detalles.

En general, los mensajes de texto que recibieron los usuarios de T-Mobile tenían bastantes cosas en común con los mensajes de estafa sobre los que se ha advertido a las personas durante años. Sin embargo, había una diferencia crucial: no era un mensaje de estafa.

T-Mobile realmente sufrió una violación de datos

Los tweets y publicaciones llamaron la atención de Alex Wagner de TmoNews.com, quien hizo algunas preguntas y se enteró de que el mensaje de texto no era una estafa. T-Mobile realmente había sufrido una violación de datos.

La URL acortada del SMS conduce a una página que proporciona una breve descripción de lo que sucedió. Aparentemente, después de violar los sistemas de la empresa de telecomunicaciones, los hackers lograron acceder a los datos personales de algunos de los clientes prepagos de T-Mobile. La información robada incluye nombres, direcciones de facturación, números de teléfono, números de cuenta, así como otros datos relacionados con los servicios a los que se han suscrito los usuarios afectados. La página confirma una vez más que las personas de seguridad de T-Mobile han detenido el ataque y que nada particularmente sensible se ha visto comprometido.

A los usuarios se les dice que pueden considerar cambiar sus PIN y contraseñas por si acaso, y esta vez, se les garantiza que si llaman a uno de los números de atención al cliente de T-Mobile, podrán obtener toda la información que necesitan.

A fin de cuentas, esto no parece ser la peor violación del mundo. Aun así, no pone a T-Mobile en la mejor luz posible.

El manejo del problema por parte de T-Mobile fue apenas ejemplar

Los usuarios no tardaron mucho en comprender que no fueron atacados por un ataque de phishing por SMS, y probablemente se sintieron aliviados al descubrir que los piratas informáticos no podían robar ninguna información especialmente sensible. Sin embargo, aquellos que hayan estado activamente interesados en la ciberseguridad probablemente verán los errores que cometió T-Mobile.

Como ya mencionamos, un mensaje de texto breve y vagamente redactado no es exactamente la mejor manera de dar la noticia, y la URL abreviada incluida es una idea francamente terrible.. Como mínimo, el SMS debería haber estado acompañado de una declaración pública difundida a través de los canales tradicionales.

En un mundo ideal, dicha declaración pública incluiría mucha más información que la que T-Mobile nos dio después de esta violación. Por ejemplo, ni la alerta por SMS ni la página que enlaza dan a los usuarios una idea de cuán grande fue la violación. Incluso después de que TmoNews.com preguntara cuántas personas se vieron afectadas, la respuesta no fue exactamente específica: "un porcentaje muy pequeño de un solo dígito".

El hecho de que el número de personas que han expuesto sus datos personales no sea muy grande no debería ser una excusa para la falta de transparencia a la hora de informar un incidente de este tipo. Con suerte, tanto T-Mobile como otros proveedores de servicios aprenderán eso.