Más de 27 violaciones de datos más importantes de la historia [actualizado en 2021]

Un ataque de piratas informáticos ocurre cada 39 segundos en los EE. UU.

Esta frecuencia puede ser preocupante al principio.

Sin embargo, en realidad, la mayoría de los ataques tienen poco impacto en la sociedad, a pesar de que ocurren ataques de alto perfil . No son peligrosos para Voldemort, pero algunos de ellos se acercan bastante.

Hay cinco objetivos clave que comparten las mayores violaciones de datos en la historia moderna. Estos son su nombre completo, dirección de correo electrónico, dirección física, dirección IP e información de la tarjeta de crédito.

He aquí una muestra de lo que estamos hablando:

• El declive de Yahoo fue sin duda acelerado por la mayor filtración de datos reportada hasta este momento: 3 mil millones de cuentas quedaron expuestas.
• Los hackers furtivos lograron recopilar los datos personales de más de 505 millones de huéspedes de Marriott International hasta 2020.
• 412 millones de miembros de la red para adultos FriendFinder también sufrieron robos de datos ansiosos.
• Un solo joven hacker necesitó varios años para acceder a más de 200 millones de cuentas de usuario con información confidencial; pertenecían exclusivamente a Court Ventures.
• LinkedIn se hizo conocido como LeakedIn después de que se robaran 117 millones de cuentas .
• Los entusiastas del fitness tampoco se salvaron de los sonrojos: casi 113 millones de usuarios de FitMetrix compartieron de mala gana sus datos personales con piratas informáticos desconocidos.
• Retrocediendo en el tiempo, en 2008 se eliminaron 134 millones de números de tarjetas de crédito de Heartland Payment Systems.
• Mientras hablaba del tema, Equifax informó los datos de pago de más de 145,5 millones de usuarios expuestos tan recientemente como en 2017.

No revisaré el Gran Ataque del Papiro en su día, a pesar de que fue una violación masiva por derecho propio. En cambio, echaré un vistazo a las trampas de la seguridad moderna y cómo nos han afectado.

Pero primero, repasemos las brechas de seguridad más recientes en 2020 .

Violaciones de datos en 2020

2020 comenzó con numerosos ciberataques. Aunque no son las violaciones de datos más grandes de todos los tiempos , los ataques expusieron los datos de millones de usuarios, incluida información personal, correos electrónicos, contraseñas y números de tarjetas de crédito.

Eso demuestra que incluso los sistemas de seguridad superiores modernos no son tan efectivos como cabría esperar.

Entonces, sin más preámbulos, a continuación se presentan las últimas violaciones de información en 2020.

Violación de datos de Elasticsearch 2020

(Fuente: BankInfoSecurity)

Registros expuestos: 250 millones

Una de las filtraciones de información más recientes involucra a Microsoft. El gigante tecnológico expuso "accidentalmente" 250 millones de registros de soporte al cliente durante más de tres semanas. Lo que sucedió fue que Microsoft almacenó estos datos en cinco bases de datos Elasticsearch mal configuradas.

Aunque la investigación de la compañía no reveló ningún robo de datos , sus acciones se hundieron casi $ 10 por acción .

Violación de datos de Clearview AI 2020

(Fuente: The Daily Beast)

Registros expuestos: Desconocido (la lista completa de clientes de la empresa)

En febrero, la controvertida empresa informó que un pirata informático "obtuvo acceso no autorizado" a su lista de clientes. Muchos de sus clientes son agencias de aplicación de la ley, que pueden tomar fotografías de un sospechoso y compararlas con la base de datos de la compañía de más de 3 mil millones de imágenes.

La reacción de la empresa a la violación cibernética fue simple: "Desafortunadamente, las violaciones de datos son parte de la vida en el siglo XXI". Sin embargo, la empresa afirma haber solucionado la vulnerabilidad y sus servidores están a salvo.

Violación de datos de Nintendo 2020

(Fuente: The Verge)

Registros expuestos: 160.000

En abril, Nintendo anunció que se han expuesto cerca de 160.000 listas de cuentas, correo electrónico y contraseñas . La lista de datos filtrados también incluye nombres, fechas de nacimiento, sexo y país.

La compañía instó a sus usuarios a utilizar la autenticación de dos factores para mejorar la seguridad de sus cuentas.

En el lado positivo, no se filtró información de la tarjeta de crédito, por lo que las monedas de los usuarios están seguras en el bloque.

¿Consíguelo?

De todos modos, en el siguiente.

Violación de datos de Tetrad 2020

(Fuente: UpGuard)

Registros expuestos: 120 millones

En febrero, Tetrad se convirtió en víctima de una violación masiva de datos que expuso información sobre millones de hogares y empresas estadounidenses.

La compañía ha configurado mal un bucket de Amazon S3, lo que hace que los datos sean accesibles para cualquier persona con un navegador web. La información se ubicó en tres archivos por un total de 747 GB. Afortunadamente, una semana después de que se descubriera la filtración, la empresa solucionó la vulnerabilidad.

Violación de datos de Virgin Media 2020

(Fuente: BBC)

Registros expuestos: 900.000

Las empresas seguramente facilitan el trabajo de los ciberdelincuentes.

En mayo, Virgin Media admitió que había datos personales de unos 900.000 usuarios que se dejaron accesibles y sin seguridad durante 10 meses.

¿La razón?

¡Una base de datos mal configurada, por supuesto!

Alguien debería intentar enseñarles a estos chicos cómo configurar correctamente una base de datos.

Fue accedido al menos una vez por un usuario no autorizado. En el lado positivo, la información filtrada no incluía ninguna información financiera.

Violación de datos de Wawa 2020

(Fuente: ZDNet)

Registros expuestos: 30 millones

Nuestra lista de violaciones de datos para 2020 no estaría completa sin Wawa. En enero, más de 30 millones de detalles de tarjetas de pago se pusieron a la venta en Joker's Stash, uno de los mayores bazares de fraude en línea.

La compañía anunció la violación en diciembre de 2019, pero los datos aparecieron en el mercado negro unos días después de la víspera de Año Nuevo. Esta violación de la tarjeta de pago se encuentra entre las más grandes, junto con Home Depot (50 millones) y Target (40 millones).

Violación de datos de GoDaddy 2020

(Fuente: Revista de seguridad)

Registros expuestos: 28.000

El 23 de abril, GoDaddy identificó que los nombres de usuario y las contraseñas SSH se vieron comprometidos a través de un archivo SSH alterado. No está claro si esta reciente violación de datos se debió a detalles de inicio de sesión robados anteriormente o ataques de fuerza bruta , pero el proveedor de alojamiento declaró que "el actor de la amenaza no tenía acceso a las cuentas principales de GoDaddy de los clientes".

Aunque esos 28,000 registros expuestos no pueden considerarse una violación de datos importante , considerando que GoDaddy administra 77 millones de dominios, esta filtración plantea algunas preguntas de seguridad.

Ahora.

Los números muestran claramente cuán vulnerables pueden ser los datos de los usuarios. Es posible que le den un codazo para que tenga un poco más de cuidado cada vez que esté en línea.

Dicho esto, pasemos a las violaciones de datos más grandes del mundo.

Violación de datos de Yahoo

(Fuente: CSO)

Año - 2013-2014

Registros expuestos: 3 mil millones

Yahoo está lejos de su antigua gloria. La caída masiva del imperio de Yahoo comenzó en 2013. Una parte aún desconocida irrumpió en la base de datos de Yahoo, obteniendo acceso a 3 mil millones de cuentas . Este es el mayor hackeo que Yahoo ha encontrado y la mayor filtración de datos de la historia . Y solo lo descubrieron en 2016.

El ataque ocurrió justo en medio de sus negociaciones con Verizon, que luego adquirió Yahoo por 4.480 millones de dólares. El precio revisado fue $ 350 millones menos de lo esperado anteriormente, pero eso fue solo la punta del iceberg para Yahoo.

La información robada incluía nombres completos, fechas de nacimiento, direcciones de correo electrónico y contraseñas, y correspondencia sobre cuestiones de seguridad (preguntas / respuestas).

La compañía afirma que el ataque fue realizado por piratas informáticos financiados por el estado. Un artículo de Vice muestra además que el Departamento de Justicia señala a los miembros del Servicio Federal de Seguridad de Rusia como los iniciadores de la violación masiva de datos de Yahoo .

Los datos personales supuestamente se utilizaron para comprometer (posiblemente chantajear) tanto a funcionarios estadounidenses como rusos, periodistas y algunas personas del sector privado. Algunos de los detalles de la cuenta también se pusieron a la venta en "TheRealDeal", un conocido mercado virtual de la red oscura.

El conocimiento es poder, ¿verdad?

Aunque sucedió hace años, esta brecha todavía encabeza la tabla de clasificación de violaciones de datos más famosas .

Violación de datos de medios de River City

(Fuente: TheRegister)

Año: 2017

Registros expuestos: 1,37 mil millones

Una de las violaciones de datos recientes más preocupantes ocurrió en la primavera de 2017 cuando River City Media encontró una exposición masiva de datos.

Nunca he visto a una persona saltar de alegría al ver un correo electrónico no deseado. Para mi verdadera sorpresa, resulta que mucha gente los abre, proporcionando así algunas métricas de datos a las empresas orientadas al spam.

River City Media de alguna manera logró permitir el acceso no autorizado a una gran base de datos de correos electrónicos y direcciones postales. Esto dio como resultado que 1,37 mil millones de registros de suscriptores se publicaran repentinamente en la naturaleza.

Sin embargo… esto no fue exactamente una brecha.

La empresa de marketing con sede en Jackson, Wyoming, otorgó acceso gratuito a un depósito de 200 GB. Según Chris Vickery, quien descubrió el problema por primera vez, los datos esperaban silenciosamente en un sistema sin protección por contraseña.

Resulta que algunas de las violaciones de datos más grandes de todos los tiempos no siempre son causadas por piratas informáticos, ¿eh?

De acuerdo, veamos qué filtraron los tipos descuidados: nombres reales, completos y direcciones IP / de correo electrónico / físicas. Decenas de millones de personas vieron su información filtrada a cualquiera que estuviera dispuesto a acceder a ella.

Además, la violación arrojó luz sobre los planes de desarrollo de RCM, junto con una lista de afiliados no revelados de la empresa.

River City Media no respondió a la filtración de inmediato, ya que mantuvieron sus intenciones en secreto. Pero las violaciones de datos de alto perfil no suelen apreciar el silencio.

La marca intentó explicar su falta de acción afirmando más tarde que todos los datos se obtuvieron legalmente de acuerdo con los requisitos de la FTC y la Ley Can-Spam de 2003. Sin embargo, esto no les salvó de recibir una marca en la lista negra de Spamhaus.

Violación de datos de Marriott International [actualizado en 2020]

(Fuente: Vox)

Año: 2014-2018, 2020

Registros expuestos: 505+ millones

Nos vamos a mudar al negocio hotelero por un tiempo. Marriott International anunció el 30 de noviembre de que sus registros de datos han sido violados. Los piratas informáticos tuvieron acceso a sus registros desde 2014 hasta finales de 2018. Y una vez más en enero de 2020.

Cuando hablamos de violaciones de datos en 2020, no podemos perdernos de Marriott International. Una de las brechas de seguridad más recientes permitió el acceso a los datos personales de más de 5.2 millones de huéspedes . Los datos incluyen detalles de contacto, información personal, preferencias y más.

Sin embargo, en términos de grandes brechas de datos, 5,2 millones de registros no es tan impresionante. Entonces, veamos qué sucedió hace unos años, de 2014 a 2018.

En cuanto a las brechas de seguridad cibernética , esta fue una de las más antiguas. Diana.

Se estimó que el botín de la violación fue la información personal de 500 millones de personas .

La base de datos contenía nombres (combinaciones completas y parciales), direcciones de correo / correo electrónico, números de teléfono, información de la cuenta, fecha de nacimiento, sexo, fechas de reserva, horas de llegada / salida, números de tarjetas de pago / fechas de vencimiento e información del pasaporte.

Afortunadamente, toda la información de la tarjeta de crédito (8,6 millones de números de tarjetas de crédito / débito) estaba bajo encriptación AES-128 . De acuerdo, al menos la información de pago está segura… al menos.

Esta es una de las violaciones de datos más grandes y cualquiera puede leer una gran parte de los datos .

Por ejemplo, 5,25 millones de números de pasaporte de clientes no estaban encriptados. Esto fue solo un poco al norte del 20% de todos los números registrados, ya que otros 20,3 millones de ellos en realidad estaban encriptados. Marriott International hizo una evaluación adicional de los daños y estimó el número de clientes afectados en 383 millones.

Muy bien, entonces, ¿quién tiene uso de tantos registros de invitados? Una pregunta ingenua, sí, pero los expertos creen que los equipos chinos de recopilación de inteligencia están detrás del ataque.

El hecho es que Marriott International aún no ha revelado quién cree que está detrás de una de las violaciones de datos más famosas de la historia.

Reaccionaron a las noticias sobre la violación diciendo que sus objetivos principales eran "averiguar qué ocurrió" y "cómo pueden ayudar mejor a sus huéspedes".

Violación de datos de la red de FriendFinder

(Fuente: ComputerWorld)

Año: 2016

Registros expuestos : 412 millones

Algunas personas preferirían ceder el acceso a su cuenta bancaria en lugar de que se hiciera público su historial sexual. Por eso no es de extrañar que esta haya sido nombrada "la mayor infracción de 2016". Los registros expuestos ascendieron a más de 412 millones de piezas de información, incluidos nombres de usuario, contraseñas y direcciones de correo electrónico.

Hackear la base de usuarios de la "Comunidad de intercambio de parejas y sexo más grande del mundo" podría clasificarse fácilmente como una de las violaciones de datos más grandes del mundo , considerando la naturaleza sensible de la información. La red FriendFinder sufrió una violación de seguridad que contenía datos de clientes acumulados durante más de dos décadas. Los datos se distribuyeron en seis bases de datos diferentes: FriendFinder, Adultfinder, Cams, Penthouse, iCams y Stripshow.

La evaluación de LeakedSource es que toda la información confidencial se mantuvo en texto plano o hash SHA1 . Que es una forma pésima de almacenar datos de clientes. Nuevamente, Leaked Source apunta a octubre como el período más probable del ataque.

Sí, esta vez son los piratas informáticos.

FriendFinder afirma que se preocupan por la seguridad de sus clientes. Bueno, podrían haber compartido la información sobre las brechas de seguridad antes. Es una cortesía común aclarar las cosas con sus clientes y advertirles. "Oigan, gente, nos piratearon un poco ... para que lo sepan".

Además, LeakedSource incluso logró descifrar el 99% de las contraseñas cifradas. Naturalmente, la contraseña más utilizada resultó ser 123456. No estoy diciendo que “vanillaicecream1902” sea más fácil de recordar, pero puede hacer que su cuenta sea un poco más segura. (Y todavía es mucho más seguro, según los expertos). Dicho esto, para aquellos de ustedes que todavía usan ese tipo de contraseña, hemos preparado una guía práctica sobre cómo crear una contraseña segura .

Violación de datos de MySpace

(Fuente: TechCrunch)

Año: 2016

Registros expuestos: 360 millones

Febrero de 2016 no fue nada tranquilo para MySpace.

Aunque muchos se han olvidado de la plataforma, todavía existe. Fue responsable de una de las mayores violaciones de datos hasta la fecha, con más de 360 ​​millones de puntos en la aplicación Stolen Account Records.

(No existe tal aplicación, no la busque).

Aunque Time Inc., el actual propietario de MySpace, confirmó que los datos robados eran antiguos, sigue siendo un gran éxito. Según ellos, los piratas informáticos solo lograron adquirir datos anteriores al 11 de junio de 2013. ¿Y qué obtuvieron? Listas de correo electrónico y contraseñas . Incluso una segunda contraseña de vez en cuando.

El director financiero de MySpace, Jeff Bairstow, se apresuró a asegurar a los usuarios que se toman la seguridad de los datos “extremadamente en serio”.

Aunque no parece tan grave como las brechas de ciberseguridad anteriores , estas cuentas contienen todo tipo de información personal. Nombre, ocupación, actividad de la red y algunas métricas prehistóricas de cuando MySpace era popular.

Además, tenga en cuenta esto: muchos usuarios están acostumbrados a escribir la misma contraseña para todas sus cuentas en línea. Si alguien se entera de su contraseña de MySpace, es probable que pueda iniciar sesión en al menos uno de sus otros perfiles de Internet.

Entonces, la variedad es clave.

Violación de datos de Exactis

(Fuente: InfoArmor)

Año: 2018

Registros expuestos: 230 millones

Mientras observaba todos los casos recientes de violación de datos en 2018 , no pasó mucho tiempo antes de que surgiera el nombre Exactis. Una empresa de agregación / marketing de datos ubicada en Palm Coast, Florida, que ... lo adivinó, también fue pirateada.

Parece que apoyan el enfoque de mostrar menos, mientras que saben mucho más.

Es preocupante que Exactis de alguna manera logró exponer información personal de 230 millones de ciudadanos estadounidenses en 2018. La brecha salió a la luz en junio de la mano de Vinny Troia, un investigador de seguridad que estaba revisando las defensas de la empresa ElasticSearch.

Troia usó Shodan, un motor de búsqueda dirigido a dispositivos conectados a Internet, para descubrir una de las mayores violaciones de datos en 2018 : alrededor de 7,000 bases de datos diferentes en servidores públicos. Uno de esos pertenecía a Exactis y estaba simplemente relajado, totalmente desprotegido.

Al igual que su almuerzo de la escuela secundaria se dejó en la mesa común de la cafetería.

Sin embargo, a diferencia del precioso bocado de comida, la base de datos Exactis constaba de alrededor de 340 millones de registros. Un poco más del 66% de ellos están vinculados a personas físicas, mientras que el resto pertenece a empresas operativas a nivel nacional.

Afortunadamente, no se revelaron números de seguro social ni números de tarjetas de crédito.

Sin embargo, se filtró mucha otra información: direcciones físicas, direcciones de correo electrónico, números de teléfono, edad, sexo, incluso el sexo de los hijos de los clientes, la afiliación religiosa y los hábitos de fumar.

Una vez más, no está claro si se trataba de una infracción coordinada de un pirata informático o simplemente una filtración descuidada.

Violación de datos de Court Ventures

(Fuente: KrebsOnSecurity)

Año 2013

Registros expuestos: 200 millones

Volviendo a los principales eventos de piratería para variar, octubre de 2013 trajo a Court Ventures, una empresa perteneciente a Experian, una brecha en la que se expusieron 200 millones de registros de consumidores. La forma en que ocurrió la brecha es fascinante.

Hieu Minh Ngo, de 25 años, logró ejecutar una operación de robo de identidad completamente invisible durante bastante tiempo. El pirata informático se hizo pasar por un IP con una dirección en los Estados Unidos para obtener acceso a la información del cliente durante hasta diez meses.

Esto fue suficiente para reunir 200 millones de registros de información personal sensible.

Luego lo vendió a más de 1300 personas en sus dos sitios web de robo de identidad: Superget.info y Findget.me. A veces, las brechas en la seguridad de la información pueden resultar bastante rentables.

Hizo todo esto mientras estaba en Vietnam. No obstante, más tarde fue sentenciado a 13 años en una prisión federal de EE. UU. En julio de 2015.

Según The San Diego Union-Tribune, es posible que más de 30 millones de consumidores hayan sido víctimas de datos robados. Además, Ngo y sus posibles afiliados llenaron 13.000 formularios de declaración de impuestos fabricados.

Esto resultó en la recolección de $ 65 millones en reembolsos de impuestos no existentes.

Experian declaró en diciembre de 2013 que la violación no perjudicó a ningún cliente. Al menos no que ellos supieran.

Violación de datos de Deep Root Analytics

(Fuente: UpGuard)

Año: 2015

Registros expuestos: 198 millones

En diciembre de 2015 se produjo una de las mayores brechas de seguridad cibernética en torno a la Navidad, y Donald Trump sigue siendo solo un candidato presidencial.

Resulta que más de 198 millones de registros de votantes se mantuvieron en una base de datos mal protegida: los nombres completos, el estado de residencia, las direcciones, la fecha de nacimiento, los números de teléfono y los detalles de la votación se revelaron al público. Los detalles de la etnia y la religión también estaban en el paquete.

Chris Vickery fue nuevamente quien detectó la vulnerabilidad. Compartió que toda la información se guardaba en un servidor en la nube sin defensas. 1,1 TB de datos estaba disponible para cualquiera con una mente rápida.

TargetPoint Consulting y Data Trust también estuvieron involucrados en la brecha electoral, pero la responsabilidad principal recae en Deep Root Analytics.

Tras las noticias anteriores sobre filtraciones de datos en México y Filipinas, que afectaron a un poco más de 100 millones de personas, la filtración de la DRA generó preocupaciones sobre cómo se protege la información de votación en todo el mundo.

Incumplimiento masivo de Estados Unidos

(Fuente: Technology Review)

Año: 2005-2012

Registros expuestos: 160 millones

Este fue un ataque masivo y coordinado.

Un grupo de piratas informáticos rusos ha logrado acceder y recopilar números de tarjetas de crédito / débito de varias empresas durante siete años completos, entre 2005 y 2012.

Hubo un total de 15 empresas pirateadas : 7-Eleven, JC Penney, Heartland Payment Systems, Carrefour, Wet Seal, Dexia, Commidea, Hannaford, JetBlue, Euronet, Dow Jones, Global Payment, Visa Jordan, Ingenicard y Diners Singapore.

En el pasado, el fiscal de Nueva Jersey, Paul Fishman, calificó la operación como "el mayor esquema de piratería y violación de datos jamás producido en los Estados Unidos" . Aunque ahora sabemos de infracciones más importantes, esta fue impactante en ese momento.

La violación provocó pérdidas de cientos de millones para las empresas que han sido pirateadas y sus consumidores. Además de esos, tres víctimas corporativas informaron más de $ 300 millones en pérdidas debido al ataque.

Sin mencionar las posibilidades de robo de identidad.

Según el Tribunal Federal de Newark, los perpetradores fueron Vladimir Drinkman, Alexandr Kalinin, Roman Kotov, Mikhail Rytikov y Dmitriy Smilianets, todos con sede en Rusia o Ucrania.

Los informes sugieren que Smilianets logró vender los números de tarjetas de crédito filtrados y compartió las ganancias con los miembros de su equipo antes de que fueran condenados.

Violación de datos de Under Armour [MyFitnessPal]

(Fuente: Forbes)

Año: 2018

Registros expuestos: 150 millones

En marzo de 2018, la aplicación de salud MyFitnessPal hizo pública una de las violaciones de datos más grandes en el nicho de la atención médica.

La violación de la privacidad afectó a 150 millones de usuarios. Los registros incluían nombres de usuario, direcciones de correo electrónico y contraseñas con hash. Ahora, como ya habrás notado, hay un lado positivo en esta situación: las contraseñas fueron hash. Esto significa que los piratas informáticos han tenido dificultades para descifrar los datos, incluso después de que ya estaban en su poder.

Si no está familiarizado con este tipo de cosas, puede que se pregunte por qué.

Bueno, dependiendo de la complejidad del algoritmo hash, las contraseñas pueden permanecer seguras durante décadas, incluso después de importantes violaciones de datos . O descifrarlo en cuestión de minutos. Entonces, sí, solo porque haya cifrado no significa que las contraseñas sean seguras.

Aunque las empresas respetadas utilizan las herramientas de cifrado de mayor rango, se recomienda a los usuarios que cambien sus contraseñas después de una infracción de este tipo.

Siendo uno de los ejemplos de violación de datos más benignos , Under Armour aseguró a los clientes que no se filtraron datos financieros. Menos mal que almacenan información financiera y general en ubicaciones separadas.

Tampoco se filtraron licencias de conducir ni números de seguro social como parte de la infracción.

Con todo, este ataque no tuvo consecuencias tan destructivas, pero es preocupante de todos modos.

Violación de datos de Equifax

(Fuente: LifeLock)

Año: 2017

Registros expuestos: 145,5 millones

En 2017 se expuso un escalofriante ejemplo de las violaciones de datos más recientes. El ataque de piratas informáticos afectó a 145,5 millones de consumidores estadounidenses y obtuvieron acceso a información personal detallada.

Equifax, una empresa de renombre en el campo de informes crediticios, descubrió la infracción el 29 de julio. La infracción fue grande, ya que dio a conocer nombres completos, números de seguro social, fechas de nacimiento, direcciones y números de licencia de conducir para uso público.

El consejo de Equifax a los clientes fue simplemente una garantía general y sin fundamento. Esa es la ruta que toman muchas empresas en situaciones como estas.

Después de la violación de datos de Equifax, arrojaron algo de luz sobre el ataque de piratas informáticos en un comunicado de prensa detallado. Según ellos, los perpetradores utilizaron una vulnerabilidad en la aplicación del sitio web de EE. UU. Para romper sus defensas.

Sin embargo, parece que no se ha producido ninguna actividad no autorizada en las cuentas comprometidas.

La prevención de tales infracciones debería ser el principal interés de cualquier empresa. Se necesita tiempo, dedicación y comprensión del medio ambiente. Por otra parte, esto también se aplica a la piratería.

Violación de datos de eBay

(Fuente: BankInfoSecurity)

Año 2014

Registros expuestos: 145 millones

En 2014, eBay anunció que se había convertido en víctima de un ciberataque.

La cuenta de eBay de cada uno de los 145 millones de clientes fue pirateada . Los ciberdelincuentes obtuvieron información personal y contraseñas encriptadas.

Esta fue una de las violaciones de datos más grandes de todos los tiempos y se llevó a cabo utilizando las credenciales de inicio de sesión de los empleados, de todas las cosas. No es de conocimiento público si el empleado estaba “dentro” del plan o si la empresa fue realmente pirateada.

La información personal a la que me referí incluía fechas de nacimiento, direcciones postales, números de teléfono y nombres completos. Ninguna información financiera se vio comprometida según la plataforma.

Dos semanas después de que ocurriera la infracción, la compañía aseguró a los usuarios que no hubo actividad sospechosa en ninguna de las cuentas de los usuarios.

No se revelaron detalles financieros, pero la violación de datos de eBay aún constaba de casi 150 millones de registros. Información más que suficiente para hacer algún daño.

Según Al Pascual, un analista de seguridad experimentado de Javelin Strategy and Research, es probable que se aborde la violación con una campaña de spear phishing. Spear phishing es una táctica de suplantación de identidad de correo electrónico, diseñada para dirigirse a miembros específicos de una empresa para obtener acceso no autorizado.

“El sistema es tan seguro como su eslabón más débil, y esa es muy a menudo su gente”, agregó el experto.

"Estamos trabajando con las fuerzas del orden y los principales expertos en seguridad para investigar agresivamente el asunto", compartió la marca después del informe inicial de infracción.

Violación de datos de Heartland Payment Systems

(Fuente: Comodo)

Año: 2009-2017

Registros expuestos: 134 millones

Hace una década, la violación de Heartland Payment Systems se consideraba la mayor operación de este tipo hasta el momento.

Durante una de las violaciones de datos de alto perfil más dañinas , los intrusos robaron 134 millones de tarjetas de crédito únicas, incluidos los datos codificados en las tiras de tarjetas magnéticas.

Este fue uno grande.

Heartland Payment Systems realizó alrededor de 100 millones de transacciones en 2008, atendiendo a 175.000 comerciantes. Todos confiaron en esta empresa para mantener segura la información de sus clientes. Como puede imaginar, cualquier información filtrada afectó no solo a la empresa, sino a todas las empresas con las que estaban trabajando. La mayoría de ellos eran minoristas de tamaño pequeño a mediano.

Teniendo en cuenta que esta fue una de las violaciones de datos más grandes de la historia, sucedió de una manera bastante peatonal. La operación se inició mediante una inyección SQL. En pocas palabras, los piratas informáticos incluyeron comandos de base de datos adicionales en los scripts web para que el servidor obedeciera sus comandos.

Los piratas informáticos se habían aprovechado de la vulnerabilidad durante ocho años, ya que la infracción inicial se produjo en 2009.

Según el informe de Heartland, los piratas informáticos tardaron ocho meses en ingresar al sistema de procesamiento de pagos sin ser detectados. Todos los proveedores de antivirus que usó Heartland no pudieron detectarlos.

A medida que avanzan los principales eventos de piratería , las personas detrás de este iban a durar mucho tiempo. La determinación de los atacantes finalmente dio sus frutos cuando un software espía "rastreador" entró en escena.

Por lo general, dicho software espía se puede utilizar para recopilar y monitorear el tráfico de la red; luego, las empresas lo analizan y resuelven cualquier problema presente.

Por otro lado, los "rastreadores" también pueden señalar a los piratas informáticos la información de su objetivo. Los informes sugieren que el grupo tenía toda la información que necesitaban para usar las tarjetas de crédito robadas después de la violación.

El sombrío resultado para Heartland Payment Services fue la terminación de su conexión con PCI DSS, una disminución de los ingresos, $ 145 millones en compensaciones y un total de más de $ 200 millones en pérdidas.

Violación de datos de Nametests

(Fuente: Fossbytes)

Año: 2017-2018

Registros expuestos: 120 millones

La lista de violaciones de datos recientes no puede estar completa sin aquella en la que participó Facebook.

Creo que todos tenemos al menos algún conocimiento pasajero de lo que sucedió durante el escándalo Facebook-Cambridge Analytica hace algún tiempo. Pánico masivo, afirma "Eliminaré mi Facebook", Zuckerberg es un robot.

No voy a profundizar en el escándalo en sí, sino a centrarme en las pruebas de nombre.

¿Pruebas de nombre?

Reaccioné de la misma manera cuando lo escuché por primera vez. Resulta que Nametests es una aplicación de preguntas de Facebook que se utiliza para determinar qué personaje de ficción se adapta mejor a ti.

Nametests se abrió camino en las mayores violaciones de datos de 2018 al exponer los datos personales de 120 millones de usuarios. Si Inti De Ceukelaire no lo hubiera detectado, la aplicación habría continuado abusando de la información del usuario.

El investigador de seguridad vio el desliz de Nametests durante el programa de recompensas por abuso de datos de Facebook.

Ceukelaire creó un sitio web recién creado y estableció una conexión con Nametests. No rompió a sudar al acceder a todos los detalles del perfil de Facebook almacenados: nombres, imágenes, publicaciones, ocupación, etc.

Además, Nametests estaba distribuyendo tokens que otorgaban acceso en tiempo real a los feeds de los usuarios. Incluso si ha eliminado la aplicación, seguirá compartiendo su información personal con cualquier tercero en su sitio web.

Violación de datos de LinkedIn

(Fuente: fortuna)

Año 2012

Registros expuestos: 117 millones

Volviendo a 2012, LinkedIn sufrió un robo de cuentas de usuario de 6,5 millones. Naturalmente, la comunidad de Internet les otorgó el sobrenombre de “LeakedIn”.

Esta es fácilmente una de las violaciones de datos más grandes del mundo hasta la fecha.

Si bien 6,5 millones todavía es mucho, LinkedIn actuó con rapidez y desactivó las cuentas comprometidas.

Los datos adquiridos se publicaron para la venta en un foro con sede en Rusia. LinkedIn reaccionó y el problema pronto desapareció. Esto le dio tiempo para recuperarse, pero en mayo de 2018 surgieron nuevos detalles horripilantes .

El supuesto recuento de los 6,5 millones de cuentas filtradas de repente resultó ser 117 millones. Además de eso, estaban disponibles para su compra en el mercado DarkWeb. "Peace" o "Peace_of_Mind", un hacker con sede en Rusia, los puso a la venta a cinco BTC ( Bitcoin ) y convirtió LinkedIn en una de las violaciones de datos más famosas hasta la fecha.

LeakedSource afirma que también posee una lista de búsqueda de esta base de datos, disponible con una opción de prueba de $ 4 por un día.

Carry Scott, CISO de LinkedIn, declaró que restablecieron las contraseñas de las cuentas filtradas.

Violación de datos de MindBody

(Fuente: Pymnts)

Año: 2018

Registros expuestos: 113,5 millones

En 2018, FitMetrix se convirtió en parte de la familia MindBody. Y también se unió al club de empresas que han sido pirateadas .

MindBody, un gigante de los servicios de bienestar y gimnasios, pagó 15,3 millones de dólares por la adquisición. Poco sabían, les costaría mucho más que eso.

En FitMetrix se produjo una violación masiva de datos de 113,5 millones de cuentas de usuario. Cada registro constaba de nombres de usuario, direcciones de correo electrónico, sexo, número de teléfono, imágenes, altura, peso, tallas de zapatos y ubicaciones de gimnasia deseadas.

También se enumeraron los contactos de emergencia, así como fragmentos de información etiquetados como "más información".

Bob Diachenko descubrió esta brecha de datos bastante reciente en 2018 . Diachenko es director de investigación de riesgos cibernéticos en Hacken y se le considera un experto en el tema. Su informe mostró que varios servidores MindBody no estaban protegidos por contraseña.

Una de sus bases de datos incluso tenía una nota de rescate adjunta.

En su opinión, los intrusos estaban accediendo a una base de datos, exportándola, eliminándola y luego adjuntando la nota de rescate. MindBody no pensó mucho en sus hallazgos.

Actuaron sobre la violación solo después de que salió a la luz un artículo de TechCrunch .

“Tomamos medidas inmediatas para cerrar esta vulnerabilidad”, afirmó la empresa. Ya sabes, el tipo de meses después de inmediato.

Violación de datos de TJ Stores

(Fuente: ComputerWorld)

Año: 2007

Registros expuestos: 100 millones

Una de las mayores violaciones de datos de 2007 se hizo de conocimiento público cuando TJX Companies reveló información sobre un ataque de piratas informáticos dirigido a más de 100 millones de registros de clientes.

Los piratas informáticos tenían como objetivo los tipos habituales de información, como números de tarjetas de crédito, registros de devolución de compras, nombres completos y números de licencia de conducir.

45,6 millones de ellos eran números de tarjetas de usuarios de varios países. Sin embargo, la demanda contra TJX sitúa el número real en 94 millones.

De manera similar a las filtraciones de datos de 2018 , esta de hace doce años logró afectar la valoración de mercado de la compañía. Según las estadísticas del mercado de valores de 2007-2008, las acciones de la compañía sufrieron una caída, pasando de $ 30 a $ 29, una disminución del 3,4% en el valor de la empresa.

Los gastos de violación de TJX ascendieron a alrededor de 250 millones de dólares. Esto incluyó investigación de fallas de seguridad, reclamos, juicios y multas.

Se determinó que el primer pirata informático responsable de la violación, Albert Gonzales , actuó con la autorización total del Servicio Secreto de EE. UU.

Logró apelar su sentencia en 2011, pero la brecha de TJX quedará en la historia como la más impactante de su época.

Violación de datos de VK.com

(Fuente: TheHackerNews)

Año: 2016

Registros expuestos: 100 millones

Otra de las brechas de datos recientes nos envía a VK.com, la plataforma de redes sociales más desarrollada de Rusia.

The site suffered a breach that resulted in over 100 million records being leaked in 2016.

It is believed that the accessed records included full names, email addresses, locations, phone numbers, and plain-text passwords.

The last item on this list is enough to question not only the security level of VK, but their whole attitude towards cyber-security. Being a social network giant (therefore having this massive bullseye on their back), it's criminal incompetence to store user credentials without any form of encryption.

Therefore, this is one of those major data breaches that could have been easily avoided.

The illegally obtained information was later put up for sale by no other but Peace. He seems to be involved in a lot of these operations – Tumblr, MySpace, LinkedIn, and VK. And those are just the ones we are aware of.

In 2016, all VK records were available for purchase for 1 Bitcoin. This used to translate to $600 back then.

This sale opportunity revealed that most of the credible data stolen was from the 2012-2013 period. This is a positive sign, as at least some of it was likely outdated.

On the other hand, that's a lot of time for a company to remain unaware that one of the biggest data breaches ever occurred under its roof .

Firebase Data Breach

Conclusión

Each of the recent data breaches listed here caused the leak of more than 100 million records.

A hundred years ago, a lost mail cargo with a thousand letters would have seemed like a big deal. Nowadays, the numbers are in another league altogether and so is the wealth of information they hold.

Thankfully, Internet users (companies and individuals alike) slowly, but surely are recognizing online security as important. Having a unique, strong password for each virtual account is the first logical step to protect yourself. That way, even the biggest data breaches will have limited (if any) impact.

Browsing the Web also requires sensible thinking – make sure you're on the right website, avoid suspicious links, and change your login credentials frequently. If you don't want to bother – choose a password manager , which can take care of all these tasks. Also, don't forget about using antivirus software that can save you a ton of trouble.

The internet is such an inextricable part of our daily lives that it only makes sense to learn to take care of ourselves online. For all its benefits, there's a responsibility we must take in order to use it.