General Motors Sufre Violación de Seguridad de Datos, Exponiendo a Sus Clientes

El fabricante de automóviles estadounidense General Motors (GM) ha alertado a sus clientes, indicando que  General Motors sufre violación de seguridad de datos el pasado mes de abril. El ataque expuso la información privada de los clientes, incluyendo sus credenciales. 

Según la notificación de la violación de datos, GM detectó la actividad de inicio de sesión maliciosa entre el 11 y el 29 de abril. 

¿En Qué Consiste el Robo de Credenciales, del Que Fueron Objeto Clientes de GM?

El robo de credenciales*, o “relleno de credenciales” como también es conocido, consiste en un tipo de ciberataque en el que los atacantes se hacen a las “credenciales” de las cuentas de otras personas, como nombres de usuario y contraseña, y con esa información entran a sistemas de estas personas.
Los delincuentes pueden obtener las credenciales comprando esta información, con relativa facilidad, en la “web oscura”. Una vez las tienen pueden intentar entrar a cuentas de estas personas en cualquier sistema.

Esta modalidad de delito es muy común y generalizado. Los investigadores de Help Net Security detectaron que en 2020, a nivel mundial, estaban ocurriendo 193.000 millones de ataques de robo de credenciales, y según un informe de 2017 del Ponemon Institute, las corporaciones pierden en promedio  $6 millones de dólares al año por robo de credenciales en forma de tiempo de inactividad de las aplicaciones, pérdida de clientes y aumento general de costos.

En general, según F5 Labs, la mitad de los delitos informáticos divulgados en Estados Unidos en 2018 y 2019* fueron una combinación de phishing (engañar a las personas para que compartan sus credenciales) o el robo de credenciales, como el que General Motors ha sufrido, con una violación de seguridad de datos.

Porque “Las credenciales robadas son tan valiosas que la demanda de las mismas sigue siendo enorme, creando un círculo vicioso en el que las organizaciones sufren tanto intrusiones en la red en busca de credenciales, como el relleno de credenciales en busca de beneficios", continúan explicando los investigadores de F5 Labs.

Los delincuentes consiguen las credenciales de un usuario, por engaño o por robo, y comienzan entonces a emplearlas para acceder a varias plataformas. Además, usan muchas otras técnicas como el uso de robots para intentar múltiples accesos a las cuentas, hasta que tienen éxito, haciendo que la prevención de este delito sea un verdadero desafío.

Teniendo en cuenta cómo se comete este delito, General Motors ha sufrido una violación de seguridad de datos, pero estima que los delincuentes no obtuvieron la información en complicidad con personal de GM. "Creemos que personas no autorizadas obtuvieron acceso a las credenciales de inicio de sesión de los clientes, que habían sido comprometidas previamente en otros sitios que no eran de GM y luego reutilizaron esas credenciales en la cuenta de GM del cliente". Es decir, los delincuentes obtienen o compran la información de acceso, y luego intentan entrar a las cuentas que les interesan.

De hecho, GM informó a sus clientes de que los hackers no obtuvieron las contraseñas de los sistemas de GM, sino que las robaron de otros sitios web. La empresa recomendó a sus clientes que cambiaran sus contraseñas y que emplearan diferentes credenciales en cada sitio web. De hecho, si usted usa el mismo nombre de usuario y la misma contraseña en todas sus actividades, es muy fácil el acceso a todas sus cuentas con solo conocer este usuario y esta única contraseña.

¿Qué Información Obtuvieron los Hackers, Ahora que General Motors Ha Sufrido una Violación de Seguridad de Datos?

General Motors ha sufrido una violación de seguridad de datos, pero según GM los hackers tuvieron acceso a información personal "limitada"* de las cuentas de sus usuarios, y accedieron solamente al nombre, la dirección de correo electrónico, la dirección, el nombre y teléfonos de los familiares registrados en la cuenta, y otras informaciones, incluida la actividad de la tarjeta de recompensa. 

Otra información como fecha de nacimiento, el número del Seguro Social, de la licencia de conducir, de la tarjeta de crédito o la cuenta bancaria, no fue accedida por los hackers, ya que esta información no se almacena en la cuenta de GM. 

¿Qué Han Hecho Hasta Ahora los Hackers con la Información Obtenida, Ahora que General Motors Ha Sufrido una Violación de Seguridad de Datos?

Igual que muchas otras empresas, GM tiene un sistema de apreciación por sus clientes, en los que concede “puntos de recompensa” a los clientes por cada compra que hagan. Estos puntos luego pueden convertirse en tarjetas de regalo para comprar diferentes productos.

Según GM, que presentó una declaración por este robo de datos en la Oficina del Fiscal General de California el 16 de mayo, la sustracción ocurrió entre el 11 y el 29 de abril. La empresa no ha indicado el número de usuarios afectados, pero se sabe que solo en California la empresa envió casi 5.000 cartas a residentes de ese estado informándoles del robo de datos.

Lo que hasta ahora han hecho los hackers ha sido canjear la información de los puntos que tenían estos clientes por sus compras, por tarjetas de regalo. 
Según GM las medidas que tomaron fueron las siguientes:

• •    Se suspendió temporalmente la posibilidad de canjear los puntos por tarjetas de regalo.
• •    Se notificó a los clientes afectados.
• •    Se pidió a los clientes que cambiaran sus contraseñas en su próximo inicio de sesión, y se les indicó que las autoridades habían sido informadas.
• •    A los clientes cuyos puntos habían sido utilizados de forma fraudulenta, se le repusieron estos con nuevos puntos de recompensa.
• •    Como consejo general, GM le recomendó a sus clientes que usaran diferentes usuarios y contraseñas en cada uno de sus sitios web.

De todas formas, la única información obtenida por los hackers no fue la de los puntos de recompensa, por lo que los usuarios podrían estar sujetos a ser víctimas de los diferentes delitos que se cometen luego del robo de datos personales.

¿Qué Precauciones Debe Usted Tomar En caso de Haber Sufrido una Violación de Seguridad de Datos?

Si usted es propietario de un vehículo GM y si, teniendo en cuenta que General Motors ha sufrido una violación de seguridad de datos, usted no esta solo. En caso de temer que sus datos pueden haber caído en manos de delincuentes, lo primero que puede hacer es revisar reporte de crédito y asegúrese que no hayan sido utilizados fraudulentamente. Desafortunadamente, este tipo de robos se ven cada vez mas en la era digital. 

Si usted ha sufrido robo de sus credenciales y necesita ayuda legal para revisar esta situación, pero no sabe cómo hacerlo, puede contar con nuestro equipo de abogados. Recuerde que hablamos español y estamos disponibles las 24/7 para escuchar su historia. De ser necesario, estaremos con usted durante todo el proceso legal. En Morgan & Morgan siempre estamos listos para ir a la batalla por nuestros clientes. 

Usted se merece la mejor representación. 

*Enlaces disponibles en inglés.