El mismo día de ayer, cuando el gigante de las telecomunicaciones con sede en EE. UU. T-Mobile admitió una violación de datos, el proveedor de telecomunicaciones con sede en el Reino Unido Virgin Media anunció que también sufrió un incidente de fuga de datos que expuso la información personal de aproximadamente 900,000 clientes.

¿Qué sucedió?

A diferencia de la violación de datos de T-Mobile que involucró un ataque cibernético sofisticado, Virgin Media dijo que el incidente no fue un ataque cibernético ni que la base de datos de la compañía fue pirateada.

Más bien, los datos personales de alrededor de 900.000 clientes de Virgin Media en el Reino Unido quedaron expuestos después de que una de sus bases de datos de marketing quedara sin protección en Internet y fuera accesible para cualquier persona sin necesidad de autenticación.

“La situación precisa es que se ha accedido sin permiso a la información almacenada en una de nuestras bases de datos. El incidente no ocurrió por un hack, sino como resultado de una configuración incorrecta de la base de datos”, dijo la compañía en una nota publicada en su sitio web el jueves por la noche.

Según la notificación, Virgin Media dijo que la base de datos expuesta se dejó accidentalmente sin protección en Internet desde el 19 de abril de 2019, eso es casi un año, y una parte no autorizada accedió recientemente al menos una vez.

¿A qué tipo de información se accedió?

La base de datos expuesta almacenó la información (enumerada a continuación) sobre clientes y clientes potenciales, incluidos «clientes de línea fija que representan aproximadamente el 15% de esa base de clientes», dijo el director ejecutivo de Virgin Media, Lutz Schüler.

• nombres de clientes,
• domicilios particulares,
• correos electrónicos,
• números de teléfono,
• información técnica y de productos, que incluye cualquier solicitud que las personas puedan haber realizado mediante formularios en el sitio web de la empresa, y
• fechas de nacimiento ‘en un número muy pequeño de casos’.

«Tenga en cuenta que estos son todos los tipos de información en la base de datos, pero es posible que no toda esta información esté relacionada con todos los clientes», dijo Virgin Media.

La empresa aseguró a sus clientes que la base de datos de marketing mal configurada no incluía las contraseñas de las cuentas de los clientes afectados ni información financiera como tarjetas de crédito o números de cuentas bancarias.

Sin embargo, Schüler dijo que la compañía no sabe «el alcance del acceso o si realmente se usó alguna información».

¿Quién descubrió la fuga de datos?

La base de datos no protegida fue descubierta por primera vez en línea por investigadores de TurgenSecquien luego lo informó responsablemente al equipo de seguridad de Virgin Media según las pautas de ciberseguridad del Centro Nacional de Seguridad Cibernética (NCSC).

Aunque Virgin Media sorprendentemente no reconoció públicamente los hallazgos de TurgenSec, los investigadores confirmaron a The Hacker News que los datos filtrados incluyen al menos 2.324.498 registros relacionados con 900.000 personas.

«No podemos hablar de las intenciones de su equipo de comunicaciones, pero decirles a sus clientes que solo hubo una violación de la» información de contacto limitada «es, desde nuestra perspectiva, entender el asunto potencialmente hasta el punto de ser falso», dijo TurgenSec en un comunicado.

Según el equipo de TurgenSec, los datos filtrados también incluyen a los usuarios afectados:

• Direcciones IP,
• Solicitudes de bloqueo o desbloqueo de varios sitios web pornográficos, gore y de apuestas, correspondientes a nombres completos y direcciones,
• Números IMEI asociados con sus teléfonos robados,
• Suscripciones a los diferentes aspectos de sus servicios, incluidos los componentes premium,
• Tipo de dispositivo propiedad del usuario,
• El encabezado «remitente» recopilado de los navegadores, exponiendo qué sitios habían visitado los usuarios anteriores antes de acceder a Virgin Media.

¿Qué está haciendo Virgin Media ahora?

La compañía dijo que el acceso no autorizado a la base de datos se cerró inmediatamente después del descubrimiento y que lanzó una investigación forense independiente completa para determinar el alcance del incidente de violación.

La compañía también se está comunicando con los clientes afectados por fallas de seguridad y ya notificó a la Oficina del Comisionado de Información.

¿Qué deben hacer ahora los clientes afectados?

Los clientes afectados deben sospechar de los correos electrónicos de phishing, que suelen ser el siguiente paso de los ciberdelincuentes con dichos datos para engañar a los usuarios para que proporcionen más detalles, como sus contraseñas e información bancaria.

«Instamos a las personas a que sean cautelosas antes de hacer clic en un enlace desconocido o dar cualquier detalle a una parte no verificada o desconocida. En nuestro sitio web hay disponibles consejos de seguridad en línea y ayuda sobre una variedad de temas», dijo Virgin Media.

Aunque los datos comprometidos no incluyen datos bancarios o financieros, siempre es una buena idea estar atento y vigilar de cerca los extractos bancarios y de tarjetas de pago e informar cualquier actividad inusual a su banco respectivo.

Para obtener más información sobre el incidente de seguridad, los clientes de Virgin Media pueden visitar el sitio web de la empresa o llamar a su línea de atención al cliente al 0345 454 1111.