Otra semana, otra violación masiva de datos.

Capital One, el quinto mayor emisor de tarjetas de crédito e institución bancaria de EE. UU., sufrió recientemente una violación de datos que expuso la información personal de más de 100 millones de solicitantes de tarjetas de crédito en los Estados Unidos y 6 millones en Canadá.

La filtración de datos que ocurrió el 22 y 23 de marzo de este año permitió a los atacantes robar información de clientes que habían solicitado una tarjeta de crédito entre 2005 y 2019, dijo Capital One en un comunicado.

Sin embargo, el incidente de seguridad solo salió a la luz después del 19 de julio cuando un hacker publicó información sobre el robo en su cuenta de GitHub.

El FBI arrestó al presunto pirata informático

El FBI arrestó a Paige Thompson, también conocida como errática, de 33 años, ex ingeniera de software de Amazon Web Services que trabajó para un contratista de Capital One de 2015 a 2016, en relación con la violación, ayer por la mañana y confiscó dispositivos de almacenamiento electrónico que contenían una copia de los datos robados.

Thompson compareció ante el Tribunal de Distrito de EE. UU. el lunes y fue acusado de fraude y abuso informático, lo que conlleva hasta cinco años de prisión y una multa de 250.000 dólares. Se programó una audiencia para el 1 de agosto de 2019.

Según documentos judiciales [PDF]Thompson supuestamente explotó un firewall mal configurado en el servidor en la nube de Amazon Web Services de Capital One y robó sin autorización más de 700 carpetas de datos almacenados en ese servidor en algún momento de marzo.

«Capital One alertó rápidamente a las fuerzas del orden público sobre el robo de datos, lo que permitió al FBI rastrear la intrusión», dijo el fiscal federal Moran. «Felicito a nuestros socios encargados de hacer cumplir la ley que están haciendo todo lo posible para determinar el estado de los datos y protegerlos».

Es importante señalar que Amazon Web Services no se vio comprometido de ninguna manera ya que el presunto pirata informático obtuvo acceso al servidor en la nube debido a una mala configuración de Capital One y no a través de una vulnerabilidad en la infraestructura de Amazon.

Número de Clientes y Tipos de Información Afectada

Los datos comprometidos incluyen aproximadamente 140 000 números de seguridad social y 80 000 números de cuentas bancarias vinculados a clientes estadounidenses y 1 millón de números de seguridad social canadienses.

Además de esto, los nombres, direcciones, fechas de nacimiento, puntajes de crédito, límites de crédito, saldos, historial de pago e información de contacto de algunos clientes también se vieron comprometidos en la brecha de seguridad.

Sin embargo, en un comunicado emitido el lunes, Capital One aseguró a sus clientes que «ningún número de cuenta de tarjeta de crédito o credenciales de inicio de sesión se vieron comprometidos» y que más del 99% de los números de Seguro Social que la empresa tiene archivados no se vieron afectados. .

«Capital One corrigió de inmediato la vulnerabilidad de configuración que este individuo explotó y rápidamente comenzó a trabajar con la policía federal», dijo Capital One.

«El FBI arrestó a la persona responsable. Con base en nuestro análisis hasta la fecha, creemos que es poco probable que la información haya sido utilizada para fraude o difundida por este individuo».

La compañía también dijo que notificará a los clientes afectados y brindará servicios gratuitos de monitoreo de crédito a los afectados.