Un millón de cuentas de StreetEasy a la venta en la dark web

Por: Jaime Daniel Espinosa de los Monteros Lechuga

La compañía se dio cuenta que había sido hackeada hasta que descubrió su información a la venta en foros de la red oscura.

StreetEasy confirmó recientemente el hackeo y robo de datos de casi un millón de cuentas de usuario en la plataforma. Acorde a especialistas en seguridad en redes del Instituto Internacional de Seguridad Cibernética, la información robada se encuentra a la venta en diversos foros de dark web.

Según los informes, la compañía se dio cuenta del ataque el pasado fin de semana, después de descubrir que un usuario de dark web se encontraba ofreciendo la información comprometida, declaró la portavoz de StreetEasy, Lauren Riefflin. Acorde a la portavoz, entre los datos filtrados se encuentran:

·         Nombres completos de los usuarios

·         Direcciones email

·         Contraseñas encriptadas

A través de un comunicado, StreetEasy agregó que, además de los datos anteriormente mencionados, los hackers tuvieron acceso a los últimos cuatro dígitos de las tarjetas de pago de los usuarios afectados, tipo de tarjeta de pago, fechas de vencimiento y direcciones de facturación, aunque la compañía aclaró que la mayoría de estas tarjetas se encontraban vencidas. Según StreetEasy, este conjunto de datos es anterior al año 2016, por lo que la mayoría de estos registros están vencidos.

La compañía no ha revelado detalles acerca del cómo los hackers lograron acceder a la información comprometida, pero asegura que se han tomado las medidas necesarias para prevenir ataques adicionales, como el restablecimiento de contraseñas de usuarios.

Expertos en seguridad en redes creen que este robo de datos puede estar vinculado con la reciente campaña de ciberataques contra diversas compañías para después vender la información robada en foros de dark web, desplegada por un único hacker.

StreetEasy es una plataforma de renta y compra de inmuebles enfocada en el área de Nueva York. Portavoces de Zillow, la empresa matriz, han confirmado que el robo de datos no ha afectado sus operaciones.

En su comunicado, StreetEasy menciona: “tomamos muy en serio la privacidad y la seguridad de la información de todos nuestros clientes. Nuestros equipos de seguridad en redes han emprendido una serie de acciones para fortalecer nuestra seguridad y garantizar la seguridad de la información contra posibles ataques en el futuro”, concluye el comunicado de la compañía.

Análisis

Desde mi punto de vista la razón del robo es la misma que en todos los casos similares a este; debido a que la información sensible de las personas puede resultar muy valiosa, así sean los últimos 4 digitos y fecha de vencimiento de las tarjetas, o la misma dirección de facturación (como sucedió en ésta caso), . 

Respecto al cómo se pudo prevenir y a las alternativas de solución, podría ir a la fácil y atreverme a decir que mejorando la seguridad de sus sistemas, pero en lo que respecta a los sistemas informáticos no se puede afirmar con totalidad que su seguridad vaya a ser impenetrable; otra posible opción que se me ocurre podría ser la implementación de seguridad por capas de forma aunque de la misma forma, aunque pueda ser más seguro no promete que vaya a ser perfecta.

Como opinión personal diría que la empresa, si es que lo que menciona es cierto (lo cual no siempre suele ser así), tuvo un enorme fallo en su seguridad ya que no sólo les robaron esa información sino que lo hicieron sin que ellos se hubieran dado cuenta hasta que vieron publicada la información en venta, y para una empresa que almacena información sensible de sus usuarios debió de ser todo un shock en el momento; no dudo que vayan a mejorar enormemente su infraestructura para prevenir casos similares en algún futuro, pero lo que es seguro es que este caso se ha convertido en una mancha dentro de su propia historia. 

Referencias

- https://noticiasseguridad.com/seguridad-informatica/un-millon-de-cuentas-de-streeteasy-a-la-venta-en-dark-web/

- http://www.movilexperto.com/una-nueva-coleccion-de-92-millones-de-cuentas-a-la-venta-en-la-deep-web-la-tercera-en-una-semana/