Robinhood anunció que su popular aplicación sufrió una brecha, exponiendo millones de direcciones de correo electrónico, nombres y más.
En un comunicado emitido el lunes, Robinhood dijo que descubrió el incidente la noche del 3 de noviembre y explicó que un «tercero no autorizado» logró obtener la información personal de sus clientes.
La compañía se apresuró a decir que no se expusieron números de seguro social, números de cuentas bancarias o números de tarjetas de débito.
Pero admitieron que alrededor de 7 millones de personas tenían cierta cantidad de información filtrada en el ataque. Los clientes afectados han sido enviados por correo electrónico.
«La parte no autorizada diseñó socialmente a un empleado de atención al cliente por teléfono y obtuvo acceso a ciertos sistemas de atención al cliente. En este momento, entendemos que la parte no autorizada obtuvo una lista de direcciones de correo electrónico de aproximadamente cinco millones de personas y nombres completos de un grupo diferente de aproximadamente dos millones de personas», dijo la compañía.
«También creemos que para un número más limitado de personas, aproximadamente 310 en total, se expuso información personal adicional, incluido el nombre, la fecha de nacimiento y el código postal, con un subconjunto de aproximadamente 10 clientes que tienen detalles de cuenta más extensos. revelado. Estamos en el proceso de hacer las revelaciones apropiadas a las personas afectadas».
Robinhood dijo que el ciberdelincuente los amenazó y exigió «un pago de extorsión». No dijeron si pagaron la suma, pero señalaron que se comunicaron con las fuerzas del orden y contrataron a la firma de seguridad cibernética Mandiant.
«Como una empresa de Safety First, le debemos a nuestros clientes ser transparentes y actuar con integridad», dijo el director de seguridad de Robinhood, Caleb Sima. «Después de una revisión diligente, avisar a toda la comunidad de Robinhood sobre este incidente ahora es lo correcto».
El director de tecnología de Mandiant, Charles Carmakal, le dijo a Bloomberg que creen que las personas detrás del ataque «continuarán atacando y extorsionando a otras organizaciones durante los próximos meses».
Robinhood recibió una multa de $ 70 millones en julio por parte de la Autoridad Reguladora de la Industria Financiera de EE. UU. por causar un «daño significativo» a «millones de clientes» por una serie de fallas sistemáticas, incluidas interrupciones importantes en marzo de 2020, así como «información falsa o engañosa» enviada a los clientes de la empresa.
Para los clientes de Robinhood interesados en obtener más información sobre cómo se mantienen seguras sus cuentas, la compañía sugirió dirigirse a la aplicación y consultar la sección «Seguridad de la cuenta».
Bob Rudis, el científico jefe de datos de Rapid7, dijo MarketingyPublicidad.es que RobinHood fue víctima de un ataque en 2020, y señaló que una vez que una empresa ha sido un objetivo, tiende a permanecer en las listas de éxitos. Esto es particularmente cierto para las nuevas empresas de servicios financieros de gran éxito como Robinhood, agregó.
Si bien muchas organizaciones han fijado sus miradas en el ransomware, las empresas ciberdelincuentes tradicionales continúan robando información de identificación codiciada de personas que probablemente tienen, o aspiran a tener, activos financieros significativos. Esta información central (nombre, dirección de correo electrónico y otros metadatos) se utiliza en campañas de phishing y campañas de robo de identidad altamente dirigidas (y, con demasiada frecuencia, exitosas), lo que convierte a todas las posibles víctimas extendidas expuestas del ataque central», dijo Rudis.
«Cualquiera que sea cliente de RobinHood debe estar más atento y asegurarse de tener contraseñas únicas en su cartera de aplicaciones en la nube y MFA habilitado en todas ellas (cualquiera que use cualquier servicio de Internet no trivial que no admita MFA debe dejar de usar dicho servicio (s) y se esfuerzan por estar lo más seguros posible en línea). Estos ataques persisten contra todas las empresas de servicios financieros, y solo se necesita un paso en falso para ser presa de campañas inteligentes y dirigidas».
