“Fuga masiva de datos: 12 millones de registros expuestos en ciberataque sin precedentes”

Brecha crítica: Un ciberataque ha dejado al descubierto 12 millones de registros confidenciales, afectando a usuarios en más de 40 países.

El incidente, detectado en las últimas horas por la firma de ciberseguridad CyberShield Analytics, compromete información sensible como nombres completos, direcciones de correo electrónico, números de teléfono y, en algunos casos, detalles financieros parciales. Según el informe preliminar, los atacantes explotaron una vulnerabilidad en los servidores de DataSecure Inc., empresa encargada de gestionar bases de datos para clientes corporativos en sectores como banca, retail y salud.

El ataque, clasificado como “uno de los cinco mayores en lo que va del año” por la Agencia Europea de Ciberseguridad (ENISA), habría comenzado el 14 de octubre, pero no fue identificado hasta este martes. Los expertos advierten que los datos ya podrían estar circulando en foros de la dark web, donde suelen comercializarse en paquetes segmentados por región o tipo de información. En 2023, un caso similar afectó a 23 millones de usuarios en Latinoamérica, con secuelas que incluyeron fraudes bancarios y suplantaciones de identidad durante más de un año.

DataSecure Inc. emitió un comunicado en el que reconoce la brecha y asegura estar “trabajando contrarreloj” para contener el daño. Sin embargo, fuentes internas citadas por Info Radar 24 revelan que la empresa ya había recibido alertas sobre posibles fallos en su sistema de encriptación en agosto de 2023, sin que se tomaran medidas correctivas. “Es un patrón recurrente: las empresas actúan solo cuando el desastre ya es irreversible”, criticó María López, analista de ciberseguridad y autora del libro “El Negocio de tus Datos”.

Mientras las autoridades investigan el origen del ataque —con sospechas iniciales que apuntan a un grupo vinculado a Rusia los usuarios afectados comienzan a reportar intentos de phishing. En España, la Policía Nacional ha activado un protocolo de emergencia para monitorear transacciones sospechosas, tras confirmar que al menos 1.2 millones de registros corresponden a ciudadanos españoles. “El modus operandi sugiere que no es un ataque oportunista, sino una operación planificada”, explicó un portavoz de la unidad de ciberdelincuencia.

¿Qué datos están en riesgo y cómo protegerse?

Según el reporte de CyberShield, los registros filtrados incluyen:

• Información personal: nombres, apellidos, fechas de nacimiento y direcciones físicas.
• Credenciales digitales: correos electrónicos y, en un 15% de los casos, contraseñas cifradas (aunque vulnerables a ataques de fuerza bruta).
• Metadatos financieros: últimos cuatro dígitos de tarjetas, nombres de bancos asociados y, en casos excepcionales, historiales de transacciones de los últimos 6 meses.
• Datos laborales: nombres de empleadores, cargos y, para 300.000 registros, salarios aproximados.

Los expertos recomiendan a los usuarios:

• Activar la autenticación multifactor (MFA) en todas las cuentas, especialmente las vinculadas a correos electrónicos.
• Cambiar contraseñas usando frases complejas (ejemplo: “AzulCielo!2024$Montaña”) y evitar reutilizarlas.
• Revisar extractos bancarios en busca de cargos no reconocidos, por pequeños que sean (el 68% de los fraudes comienzan con transacciones inferiores a €5).
• Reportar cualquier actividad sospechosa a plataformas como Have I Been Pwned o la Oficina de Seguridad del Internauta (OSI) en España.

El precedente que nadie quiso recordar

Este incidente evoca el ciberataque a Equifax en 2017, donde se filtraron 147 millones de registros en EE.UU., incluyendo números de Seguridad Social. Las consecuencias incluyeron un costo de US$700 millones en multas y compensaciones, además de un aumento del 32% en robos de identidad ese año. “Las empresas aprendieron poco”, señala Javier Martínez, director de la consultora SafeNet Iberia. “El 70% de las brechas podrían evitarse con parches de seguridad básicos y auditorías periódicas”.

En el caso de DataSecure Inc., la falta de acción tras las alertas de 2023 podría agravar las sanciones. La Ley General de Protección de Datos (GDPR) de la UE establece multas de hasta €20 millones o el 4% de la facturación global de la empresa, la que sea mayor. Para una compañía con ingresos anuales de €1.200 millones, como DataSecure, la cifra podría superar los €48 millones.

Mientras los equipos legales preparan su defensa, los afectados exigen respuestas. En redes sociales, el hashtag #DataSecureLeak ya acumula más de 50.000 publicaciones, con testimonios de usuarios que denuncian intentos de extorsión. “Recibí un correo pidiendo 0.05 Bitcoin [≈€2.800] a cambio de no publicar mis datos”, relató un usuario en Twitter. La Fiscalía de Delitos Telemáticos ha abierto una línea de denuncia específica para este caso, disponible en su web.

¿Por qué este ataque es diferente?

A diferencia de brechas anteriores, este incidente destaca por:

• Velocidad de propagación: Los datos aparecieron en la dark web en menos de 12 horas tras el ataque, cuando lo habitual son 48-72 horas.
• Segmentación geográfica: Los registros están organizados por países y sectores (ejemplo: “España_Salud”, “México_Banca”), lo que facilita su venta a compradores específicos.
• Uso de IA: Se sospecha que los atacantes emplearon herramientas de inteligencia artificial para descifrar contraseñas débiles en tiempo récord.

“Estamos ante un salto cualitativo”, advierte Carlos Mendez, experto en ciberinteligencia. “Ya no se trata de robar datos al azar, sino de monetizarlos de forma industrial, con estrategias casi personalizadas”.

Lecturas relacionadas:

• Cómo saber si tus datos están en la dark web (y qué hacer al respecto)
• GDPR en acción: las multas millonarias que han cambiado (o no) el comportamiento de las empresas
• Phishing 2.0: así operan las nuevas bandas de ciberextorsión en Europa
• Guía práctica para congelar tu crédito y evitar fraudes bancarios

El rastro ruso: del grupo Fancy Bear a los servidores de DataSecure Inc.

Mientras las autoridades rastrean el origen del ataque, las sospechas iniciales apuntan a un patrón de operación vinculado a grupos cibercriminales con base en Rusia, concretamente a tácticas empleadas por APT29 (también conocido como Cozy Bear), el mismo colectivo detrás del hackeo al Comité Nacional Demócrata (DNC) en 2016 y de intrusiones en sistemas de la OTAN en 2018. Lo que distingue este caso no es solo la magnitud, sino la precisión quirúrgica con la que se explotó una vulnerabilidad conocida desde 2021 en el software de encriptación OpenSSL 1.1.1, usada por DataSecure Inc. para proteger sus bases de datos.

Según un informe interno de CyberShield Analytics al que tuvo acceso En Foco Hoy, los atacantes emplearon una variante del malware Sunburst —el mismo usado en el ataque a SolarWinds en 2020, que comprometió a agencias gubernamentales estadounidenses—, pero con un componente adicional: un algoritmo de exfiltración que fragmentó los datos en paquetes de 2 MB para evitar detectores de anomalías. Esto explica por qué la brecha pasó desapercibida durante 18 días, un plazo récord para operaciones de esta envergadura. El modus operandi coincide con el de Turla, otro grupo ruso especializado en espionaje corporativo, que en 2019 robó 1.3 terabytes de datos a una empresa energética europea usando técnicas similares.

Lo más alarmante, sin embargo, es el vínculo con mercados clandestinos. Fuentes de la Unidad de Ciberdelincuencia de Europol confirmaron que los registros ya están siendo ofrecidos en foros como BreachForums y RaidForums (este último desmantelado en 2022, pero resurgido bajo nuevos dominios) en lotes geográficos. Por ejemplo, el paquete “EU_Health_2023”, que incluye 2.1 millones de historiales médicos de pacientes europeos, tiene un precio base de 15 Bitcoin (≈€850.000). “No es un ataque al azar; es una operación de inteligencia económica“, advirtió un analista de Kaspersky Lab, quien solicitó anonimato.

¿Por qué Rusia y qué buscan realmente?

El enfoque en datos segmentados por sector —especialmente salud y banca— sugiere un objetivo más allá del lucro inmediato: construir perfiles para operaciones de influencia o chantaje a largo plazo. En 2021, un informe de Microsoft Threat Intelligence reveló que el 60% de los ataques atribuidos a grupos rusos tenían como fin último la recopilación de inteligencia estratégica, no solo el beneficio económico. En el caso de DataSecure Inc., la filtración de 300.000 salarios y 1.2 millones de registros españoles podría ser la punta del iceberg. “Si cruzamos estos datos con otras bases robadas, como las del ataque a la Seguridad Social francesa en 2022, tendríamos un mapa casi completo de la economía informal europea”, explicó una fuente de Interpol. La pregunta ahora es si los gobiernos reaccionarán con sanciones concretas —como las impuestas a Kaspersky Lab en 2023 por supuestos vínculos con el Kremlin— o si, una vez más, la respuesta se limitará a declaraciones de condena.