Hack de MGM Hotel deja expuestos datos personales de 10,6 millones de huéspedes

10,6 millones de personas que se habían alojado en MGM Resorts han publicado sus datos personales en un foro de piratería, se reveló esta semana. Según ZD Net, los datos personales filtrados incluían nombres, direcciones, números de teléfono, correos electrónicos y fechas de nacimiento.

Se cree que la brecha reciente se debe a un incidente anterior que ocurrió el año pasado, en el que actores no autorizados pudieron acceder a la nube interna de MGM y, por lo tanto, a la información personal de los huéspedes anteriores.

Varios profesionales de la ciberseguridad han comentado la noticia de esta violación de datos generalizada:

Peter Draper, director técnico de EMEA en Gurucul:

“Desafortunadamente, los datos de los usuarios que se exponen y se ponen a disposición de una amplia gama de malos actores es algo muy común en el mundo conectado de hoy.

Las organizaciones que poseen datos personales de sus clientes deben mejorar realmente la protección de dichos datos.

Hay tecnologías disponibles en la actualidad que se pueden utilizar en una estrategia de seguridad multifacética. Se habla mucho sobre la estrategia Zero Trust. Las organizaciones deben tomar medidas para avanzar hacia esto como una prioridad. Security Analytics and Automation proporcionará las bases adecuadas para cumplir con Zero Trust y brindará una mejor seguridad para los datos de sus clientes, así como los datos críticos y la propiedad intelectual de la organización «.

Hugo van den Toorn, gerente de seguridad ofensiva en Puesto de avanzada24:

“Este parece ser otro ejemplo de lo difícil que puede ser proteger adecuadamente sus entornos de nube y la importancia de ser transparente después de que ocurran incidentes de seguridad. Según la información disponible, MGM parece haber manejado todo de manera adecuada, aunque la infracción ocurrió el año pasado, los clientes afectados fueron informados y las respuestas de MGM fueron rápidas y adecuadas.

También muestra la gran cantidad de información que poseen las grandes organizaciones. Aunque la industria hotelera puede no parecer un objetivo principal para los piratas informáticos malintencionados, esto confirma una vez más que es una potencial mina de oro para los piratas informáticos. Simplemente debido a la gran cantidad de huéspedes del hotel, los datos personales que se procesan y almacenan se disparan en este negocio. Convertirlo en un objetivo interesante para los piratas informáticos y solo una mala configuración en un sistema en la nube podría exponer partes de los datos al mundo «.

Sam Curry, director de seguridad de Ciberazón:

“Las últimas noticias de MGM no deberían ser una sorpresa: la industria hotelera tiene un objetivo en la espalda dado el tesoro escondido en sus sistemas. Los piratas informáticos obtienen un valor enorme de lo que se llama Beds-and-Heads, la información logística que permite la inferencia de información material en todos los ámbitos. Con más de 11 millones de clientes afectados por esta última infracción, tenemos otro recordatorio de que los ciberdelincuentes son persistentes, y es solo cuestión de tiempo antes de que determinados estados nacionales o grupos de piratas informáticos deshonestos encuentren un camino hacia la red que elijan. Es tentador considerar que el MGM es menos importante que la brecha de Marriot, que afectó a 500 millones de clientes, pero las brechas más pequeñas no son menos graves que las más grandes para las víctimas.

La mayor preocupación en la divulgación de MGM es que los piratas informáticos robaron datos más profundos y sensibles sobre 1300 personas, incluida información de licencias de conducir y tarjetas D militares. Si bien es demasiado pronto para especular, existe la posibilidad de que el robo que parece haber afectado a 11 millones de clientes sea una desviación para un ataque estratégico específico para acceder a información sobre personas influyentes en el gobierno, las fuerzas del orden, la política y el sector público y privado. Eso no quiere decir que el conjunto más grande no esté sufriendo, sino que su sufrimiento es un cruel ‘daño colateral’ digital que cubre el compromiso más centrado y motivado, como un asesino que lanza una granada a una multitud en una calle concurrida para cubrir su verdadera intención. .

La reciente investigación de Cybereason sobre una campaña de espionaje global masiva contra 10 compañías de telecomunicaciones, denominada ‘Operación SoftCell’, destaca el deseo que China y otras naciones-estados tienen de rastrear el paradero de personas influyentes en todo el mundo sin tener en cuenta las pérdidas de inocentes, violadas por- luchadores. El resultado más preocupante es que ninguna de las víctimas sabe que están siendo rastreadas. En el futuro, espere que los ataques estratégicos más dirigidos se conviertan en la norma y más daños colaterales digitales por parte de agresores insensibles y motivados «.

Justin Fox, director de ingeniería DevOps en NuData Seguridad, una empresa Mastercard:

“La información sobre celebridades, directores ejecutivos de tecnología, reporteros, funcionarios gubernamentales y empleados representa un valioso tesoro de información para los ciberdelincuentes que la venden y para aquellos que la utilizarán. Toda la información del cliente es valiosa para los estafadores. Nombre, direcciones físicas y de correo electrónico, contraseñas, el contenido de los correos electrónicos: todo se puede usar para compilar una identidad, tomar control de cuentas o abrir nuevas líneas de crédito.

Este tipo de datos robados es la razón por la que tantas organizaciones, desde el sector de la hospitalidad hasta las empresas de comercio electrónico, las instituciones financieras y los principales minoristas, están incorporando soluciones de seguridad avanzadas, como biometría pasiva y análisis de comportamiento que identifican a los clientes por su comportamiento en línea, mitigando así la publicación. -agregar el daño, ya que los piratas informáticos no pueden hacerse pasar por un comportamiento individual «

Jonathan Knudsen, estratega senior de seguridad en Sinopsis:

“Si hemos aprendido algo de décadas de filtraciones de datos, es que cualquier organización puede ser un objetivo. La información siempre ha sido valiosa, pero ahora que se está perdiendo y es fácil de duplicar y transmitir grandes volúmenes de información, la protección de los datos debe evolucionar.

Adoptar un enfoque proactivo de la seguridad es la mejor manera de reducir el riesgo de molestias. Un enfoque proactivo significa pensar en la seguridad en cada fase del diseño e implementación de sistemas. Una actividad valiosa en la fase de diseño es el modelado de amenazas, en el que examina el diseño del sistema e imagina varias formas en que un atacante podría comprometerlo. Con base en los resultados de ese modelo de amenaza, actualice el diseño con controles de seguridad que ayuden a mitigar el riesgo de ataque.

El uso de modelos de amenazas, por ejemplo, podría revelar que un compromiso de un servidor de base de datos revelaría todo su contenido. Con este conocimiento, puede implementar un enfoque de defensa en profundidad para proteger sus datos mediante la implementación de un control de acceso más estricto y el cifrado de la base de datos o (mejor aún) el cifrado de registros individuales. Cualquier sistema puede verse comprometido, pero el objetivo es hacer que el costo del rodaje sea mayor que las posibles recompensas «.

David Kennefick, arquitecto de productos en Edgescan:

“Al igual que con cualquier violación, habrá una tendencia a buscar personas específicas de alto perfil cuya información se incluirá en volcados de datos como este. No tenemos información sobre cómo ocurrió la violación, pero parece ser confirmada por MGM Resorts. La única preocupación que tendría con esto es que ha tardado casi un año en convertirse en de conocimiento público, espero que ya se hayan puesto en contacto con el cliente afectado y les hayan permitido estar atentos al fraude general y posibles ataques de phishing / spear phishing.

En el futuro, al reservar una habitación de hotel, deberíamos establecer un estándar para poder hacer esto mientras brindamos la menor información posible «.