¿Se detuvo en alguna tienda de conveniencia Wawa y usó su tarjeta de pago para comprar gasolina o refrigerios en los últimos nueve meses?

En caso afirmativo, los datos de su tarjeta de crédito y débito pueden haber sido robados por ciberdelincuentes.

Wawa, la cadena de tiendas de conveniencia y gasolina con sede en Filadelfia, reveló un incidente de violación de datos que puede haber expuesto la información de las tarjetas de pago de miles de clientes que usaron sus tarjetas en cualquiera de sus 850 tiendas desde marzo de 2019.

¿Qué sucedió? Según un comunicado de prensa publicado en el sitio web de la compañía, el 4 de marzo, los atacantes lograron instalar malware en sus servidores de puntos de venta utilizados para procesar los pagos de los clientes.

Cuando fue descubierto por el equipo de seguridad de la información de Wawa el 10 de diciembre, el malware ya había infectado los sistemas de procesamiento de pagos en las tiendas en «potencialmente todas las ubicaciones de Wawa».

Eso significa que los atacantes estaban potencialmente robando la información de la tarjeta de pago de los clientes de Wawa hasta que sus servidores eliminaron por completo el malware el 12 de diciembre de 2019.

La compañía también dijo que el malware estaba presente en los sistemas de punto de venta de la mayoría de las ubicaciones aproximadamente el 22 de abril de 2019, aunque es posible que algunas ubicaciones de Wawa no se hayan visto afectadas en absoluto.

¿Qué se ha comprometido? El malware robó información de tarjetas de crédito y débito, incluidos números de tarjeta, fechas de vencimiento y nombres de clientes en las tarjetas de pago utilizadas potencialmente en todas sus terminales de pago y bombas de gasolina en la tienda entre el 4 de marzo de 2019 y el 12 de diciembre de 2019.

¿Qué no se ha comprometido? Según la compañía, los PIN de las tarjetas de débito, los números CVV2 de las tarjetas de crédito, otros PIN, la información de la licencia de conducir utilizada para verificar las compras con restricción de edad y otra información personal no se vieron afectados por este malware.

Wawa también dejó en claro que el malware PoS nunca representó un riesgo para sus cajeros automáticos y, en el momento de la divulgación de la violación de datos, la empresa no tenía conocimiento de ningún uso no autorizado de la información de la tarjeta de pago como resultado de este incidente.

¿Cómo abordó Wawa la violación de la tarjeta de pago? El equipo de seguridad de la información de la compañía contuvo por completo el malware dentro de los dos días posteriores a su descubrimiento e inmediatamente inició una investigación contratando a una firma forense externa líder para investigar el incidente y verificar el alcance de la violación.

Wawa también informó a las fuerzas del orden para apoyar su investigación criminal en curso y notificó a las compañías de tarjetas de pago sobre el incidente.

Wawa, que tiene más de 850 tiendas minoristas de conveniencia en Pensilvania, Nueva Jersey, Delaware, Maryland, Virginia, Florida y Washington, DC, también ofrece protección gratuita contra el robo de identidad y monitoreo de crédito sin cargo a cualquier persona cuya información pueda haber sido comprometida.

«Me disculpo profundamente con todos ustedes, nuestros amigos y vecinos, por este incidente», dijo el presidente y director ejecutivo de Wawa, Chris Gheysens. «Ustedes son mi máxima prioridad y son de vital importancia para los casi 37 000 asociados de Wawa. Nos tomamos muy en serio esta relación especial con ustedes y la protección de su información».

¿Qué deben hacer ahora los clientes afectados? Se recomienda a los clientes que compraron cualquier cosa en cualquiera de las tiendas de conveniencia de Wawa desde marzo de este año que controlen cuidadosamente los estados de cuenta de sus tarjetas de pago.

En caso de que encuentre algún cargo no autorizado, notifique inmediatamente al emisor de la tarjeta de pago correspondiente y considere colocar una alerta de fraude o un congelamiento de seguridad en su archivo de crédito en Equifax, Experian y TransUnion.

Además, si es posible, debe considerar bloquear la tarjeta de pago afectada y solicitar una nueva a su respectiva institución financiera.