La ciberseguridad de Iberia sigue trayendo cola. El conocido grupo de ransomware Everest afirma haber comprometido 596 GB de datos internos de la empresa.
En su página de filtraciones se jactan de haberse hecho con información que incluye nombres de clientes, detalles de contacto, fechas de nacimiento, información de viajes y reservas, datos de tarjetas enmascarados y perfiles de marketing.
Por otro lado, el grupo asegura haber conseguido 430 GB de archivos .eml, que contendrían más de 5 millones de registros. Con estos serían capaces de visualizar la información de reservas, pero también editarla.
Desde Cybernews han investigado la declaración y tienen indicios de que la banda no va de farol. Los archivos .eml se usan para almacenar mensajes de emails y en ellos las aerolíneas suelen incluir una parte significativa de los detalles de los vuelos en dichos correos. Everest, cuentan, podría modificar la información de las reservas fácilmente simplemente teniendo a mano un solo apellido y la referencia de la reserva.
Los ciberdelincuentes han pedido un rescate de 6 millones de dólares a la compañía aérea, prometiendo que si reciben el pago no harán pública ni una sola reserva ni un solo dato personal.
«Una fuga de datos completa tendría consecuencias catastróficas tanto para clientes como para la compañía, abriendo las puertas a una ola masiva de spam y fraude», comentan los cibermalos para presionar al gigante español.
Los investigadores señalan que la banda podría incluso cambiar los itinerarios de los vuelos, lo cual le daría una gran capacidad de ‘negociación’ para pedir una cuantía tan alta. Los daños financieros a Iberia podrían ser muy grandes.
Hace unos días la empresa envió un correo electrónico para avisar a sus clientes de que se había dado un incidente de seguridad a través de un proveedor externo, asegurando que la credenciales de inicio de sesión no habían sido robadas.
Lo hizo ocho días después de que Escudo Digital informara sobre una posible falla. Un actor de amenazas afirmaba a mediados de mes que había vendido 77 GB de datos internos por 150.000 dólares. En un post en un foro el pirata informático comentaba que había conseguido datos técnicos del A320/A321, archivos de mantenimiento de AMP, información del motor y otros documentos internos.
Teniendo en cuenta todo esto parece que Iberia no ofreció el panorama completo y el agujero de seguridad podría ser bastante más grave del identificado o comunicado inicialmente.
Desde el departamento de Comunicación de Iberia nos comentan en relación con esta última demanda del grupo de ransomware Everest lo siguiente: «Efectivamente, tuvimos un acceso no autorizado a nuestros datos. Hemos ido avisando a todos los clientes afectados. También lo denunciamos ante la UCO, la Agencia de Protección de Datos e INCIBE. El acceso se produjo en repositorio de comunicación alojado y administrado por un tercero. La información contenida en ese sistema de intercambio de información es limitada y no es operacional, por lo que no se ha puesto en riesgo la seguridad de los vuelos. Hemos establecido medidas de seguridad adicionales, como un doble factor de autenticación para todos los afectados de manera que nadie (aparte de ellos) pueda modificar su reserva o hacer cualquier gestión a través de la APP, la web iberia.com o el call center. De momento, no hay constancia de que se haya realizado alguna actividad fraudulenta con estos datos».
El ascenso de Everest
Everest ha venido operando desde, al menos, diciembre de 2020. En sus inicios sse centraba más en la exfiltración de datos, con fines de extorsión. Pero con el tiempo fue evolucionando hacia un modelo de ‘doble extorsión’.
Desde al menos 2021 el grupo también actúa como un bróker de acceso inicial, dedicándose a conseguir accesos iniciales a redes corporativas vulneradas y, en ocasiones, vendiéndolos a otras bandas criminales para que realicen el ataque completo.
Aunque no se conoce con exactitud desde donde opera, sus víctimas suelen estar en occidente, teniendo en su punto de mira a compañías de infraestructuras críticas en EE.UU y en Europa. Se cree que algunos de sus miembros residen en países de la antigua Unión Soviética o hablan ruso.
Entre sus víctimas están BMW, el Aeropuerto de Dublín y, más recientemente, la empresa de ropa deportiva Under Armour. Un informe publicado hace unos meses indicaba que Everest había comprometido más de 230 organizaciones desde su aparición.
