Una de las peores violaciones de datos de la historia ha dejado detalles privados de aproximadamente 2.900 millones de personas, incluidos los números de seguridad social de los estadounidenses, en la red oscura.
La base de datos de una empresa de verificación de antecedentes con sede en Florida fue allanada y luego puesta a la venta el pasado 8 de abril, ofrecida a cualquier ciberdelincuente dispuesto a pagar 3,5 millones de dólares.
La compañía aún no ha confirmado la violación con sus propias cifras, pero si es cierto, el alcance del ataque rivaliza con el ataque récord de 2013 a Yahoo!, que expuso los datos de tres mil millones de personas en todo el mundo.
El grupo cibercriminal que vende los datos, que se cree tiene su sede en América Latina y tiene el irónico apodo de «USDoD», en honor al Departamento de Defensa de Estados Unidos, compartió el archivo con un experto en ciberseguridad para confirmar su legitimidad.
Es probable que la mayoría de los estadounidenses —e incluso muchos de sus familiares fallecidos— tengan datos privados en riesgo debido a la filtración, a menos que hayan pagado regularmente por servicios de «exclusión voluntaria».
Un supuesto ataque a Yahoo!, considerado el peor de la historia, ha dejado en la red oscura los datos privados de unos 2.900 millones de personas, incluidos los números de seguridad social de los estadounidenses. El alcance del ataque rivaliza con el ataque a Yahoo!, que en 2013 estableció un récord y expuso los datos de tres mil millones de personas.
Según una propuesta de demanda colectiva presentada el jueves pasado, Jerico Pictures, una empresa de verificación de antecedentes con sede en Florida y que opera bajo el nombre de National Public Data, no logró «asegurar de manera efectiva el hardware que contiene información de identificación personal protegida». [personal identifiable information]’
Esta extensa base de datos robada contiene historiales de direcciones, nombres de familiares y más sobre cientos de millones de ciudadanos estadounidenses, incluidos muchos que han estado muertos durante décadas, según muestran nuevos documentos judiciales.
Los abogados de la víctima, que fue alertada por primera vez sobre la violación de datos por su propio servicio de protección contra el robo de identidad, ahora están presentando una demanda colectiva contra la empresa de bases de datos.
De acuerdo a Esa demanda presentado el jueves, la empresa de verificación de antecedentes Jerico Pictures, que opera bajo el nombre Datos públicos nacionalesno logró ‘proteger eficazmente el hardware que contiene información personal identificable protegida’ [personal identifiable information].’
La demanda también acusa a la empresa de haber «extraido» sus miles de millones de archivos sobre individuos privados de otras bases de datos sin el «consentimiento o conocimiento» de esos individuos.
«La conducta del acusado equivale al menos a negligencia», dijeron los abogados, encabezados por La empresa Kopelowitz Ostrowargumentaron en su propuesta de demanda colectiva.
Un análisis superficial de los tres mil millones de archivos individuales contenidos en la filtración, según los propietarios del sitio web de educación sobre ciberseguridad y malware VX-Subterráneo — ‘encontró inmediatamente’ a cualquier individuo que ‘no usara servicios de exclusión voluntaria de datos y residiera en Estados Unidos’.
Los archivos generalmente contenían su nombre y apellido, dirección actual, sus últimas tres direcciones residenciales, su número de seguro social y una gran cantidad de datos sobre sus familias.
«También nos permitió encontrar a sus padres y hermanos más cercanos», continuó el escritor de ciberseguridad. «Pudimos identificar a los padres, parientes fallecidos, tíos, tías y primos de alguien».
“Algunas personas localizadas llevaban muertas casi dos décadas”, informaron.
National Public Data, que tiene su sede en Coral Springs, a una hora al norte de Miami, Florida, aún no ha revelado cuándo ni cómo ocurrió la violación de sus bases de datos.
La compañía aún no ha respondido a las solicitudes de comentarios de DailyMail.com.
Peor aún, la empresa aún no ha alertado ni emitido advertencias a cientos de millones de personas afectadas dentro de Estados Unidos, ni aparentemente a quienes están en el extranjero y que también podrían estar en riesgo.
Estimaciones actuales de la Oficina del Censo de EE.UU estiman que la población total de Estados Unidos es de 336,8 millones de personas, o apenas el 11,2 por ciento de las personas atrapadas en esta filtración masiva de datos.
En otras palabras, es probable que la mayoría de los estadounidenses, incluidos muchos de sus familiares fallecidos, sean víctimas del hackeo y, por lo tanto, posibles demandantes en la demanda colectiva.
Pero como señaló VX-Underground, que revisó el archivo completo de 277,1 gigabytes obtenido de los piratas informáticos: ‘La base de datos NO contiene información de personas que utilizan servicios de exclusión voluntaria de datos’.
Según los propietarios del sitio de educación sobre ciberseguridad y malware VX-Underground (que revisaron el archivo completo de 277,1 gigabytes del hacker), la mayoría de los estadounidenses, incluidos muchos de sus familiares fallecidos, probablemente sean víctimas del ataque y, por lo tanto, posibles demandantes en la demanda colectiva.
«No todas las personas que utilizaron algún tipo de servicio de exclusión de datos estaban presentes», informó VX-Underground en una publicación en el sitio de redes sociales X Este pasado mes de junio.
Los servicios de exclusión voluntaria de datos cobran hasta $499 por año para realizar la tediosa tarea de exigir a los corredores de datos que eliminen sus datos personales de sus listas.
Pero para aquellos que buscan un método más rentable, la organización sin fines de lucro Consumer Reports ofrece un servicio similar a través de su Hoja de permiso aplicación.
El Departamento de Defensa de los Estados Unidos, que primero se hizo famoso bajo el nombre de «NatSec», se atribuyó el mérito de una ola de ataques informáticos este año, incluido un ataque a CrowdStrike, la empresa de ciberseguridad cuya actualización defectuosa dejó en tierra a aerolíneas y causó caos en todo el mundo en julio de este año.
En julio de este año, el Departamento de Defensa de los Estados Unidos también afirmó que había filtrado la «lista completa de actores de amenazas» de CrowdStrike. [indicators of compromise] lista’ y bases de datos de ambos'[an] compañía petrolera y una industria farmacéutica (no de EE.UU.),’ según un informe de la empresa.
El Departamento de Defensa de los Estados Unidos, que está vendiendo la nueva filtración de datos en la red oscura, se ha atribuido el mérito de una ola de ataques este año, incluida una redada en CrowdStrike, la empresa de ciberseguridad cuya actualización defectuosa dejó en tierra a las aerolíneas y causó caos en todo el mundo en julio (en la foto)
El director ejecutivo de Delta ha amenazado con demandar a CrowdStrike por lo que dijo fueron 500 millones de dólares en ingresos perdidos y costos adicionales relacionados con miles de vuelos cancelados en julio pasado.
El USDoD había sido originalmente retratado como una empresa de piratería informática prorrusa, en parte debido a los primeros éxitos del grupo con su campaña «#RaidAgainstTheUS», que tenía como objetivo al Ejército de Estados Unidos y a los principales contratistas de defensa del Pentágono.
El grupo de piratas informáticos también ha investigado a agencias nacionales estadounidenses, haciéndose pasar por el director ejecutivo de una empresa financiera para robar la base de datos InfraGard del FBI, de 80.000 miembros. que está diseñado para compartir de forma segura inteligencia de seguridad nacional y ciberseguridad.
Los miembros de InfraGard incluyen empleados gubernamentales, así como miembros del sector privado cuyo trabajo se considera fundamental para el mantenimiento de la infraestructura de EE. UU.
Un informe de un periodista especializado en ciberseguridad Brian Krebs había acusado al USDoD de hacer una declaración política al publicar datos confidenciales de empleados robados del contratista aeroespacial del Pentágono, Airbus. en el aniversario de 2023 de los ataques terroristas del 11 de septiembre.
Pero el Departamento de Defensa de los Estados Unidos negó la afirmación, afirmando que Las acciones del grupo no eran políticas ni actos de terrorismo, sino simplemente actividades cibercriminales habituales, con algunas salvedades.
«No atacaré a Rusia, China, Corea del Sur y del Norte, Israel e Irán», dijo el Departamento de Defensa después del informe de Krebs. «El resto, no me importa».
