T-Mobile fue violado nuevamente, esta vez revelando los detalles de 37 millones de clientes

T-Mobile anunció una nueva brecha importante en noviembre que resultó del compromiso de una sola interfaz de programación de aplicaciones (API). ¿El resultado? La divulgación de la información personal de más de 37 millones de cuentas de clientes prepago y pospago.

Para aquellos que siguen la pista esta última revelación marca la segunda violación de datos a gran escala de T-Mobile en dos años y más de media docena en los últimos cinco años.

Y eran caros.

pasado noviembre, T-Mobile fue multado $ 2.5 millones por una violación de datos de 2015 por parte del Fiscal General de Massachusetts. Otra fuga de datos en 2021 le costó a la aerolínea 500 millones de dólares; Prometió $350 millones en pagos a los clientes afectados y $150 millones adicionales Actualización de seguridad hasta 2023.

Ahora, el gigante de las telecomunicaciones está sumido en otro incidente de ciberseguridad.

Problema de ciberseguridad de T-Mobile

El actor de amenazas que afirmó estar detrás de la violación de 54 millones de clientes pasados, actuales y potenciales de T-Mobile en 2021, John Binns, se jactó de ello en una entrevista con The Wall Street Journal. La «terrible» seguridad de T-Mobile facilitó su trabajo.

Pero una infraestructura como la de T-Mobile significa que es difícil cubrir toda la superficie de ataque, lo que hace que sea particularmente complicado asegurar sus sistemas, Justin Fier, vicepresidente senior de operaciones del equipo rojo de Darktrace, le dice a Dark Reading.

«Como la mayoría de las marcas importantes, T-Mobile tiene un inventario digital muy complejo y expansivo», explica Fier. «Cada día es más difícil obtener información sobre todos los aspectos de esta propiedad y comprender los datos, razón por la cual vemos cada vez más empresas que confían en la tecnología para cumplir esta función».

Sin embargo, agrega que romper una API vulnerable no requiere mucho conocimiento por parte de un atacante.

Además de la débil seguridad de la API, el CISO de Critical Insight, Mike Hamilton, le dice a Dark Reading que este último compromiso también muestra una falta de visibilidad de la red y la capacidad de detectar comportamientos anormales.

«Los detalles son escasos y no se atribuyó al ‘mal actor’ que parecía haber tenido acceso a los datos durante unos 10 días antes de ser detenido”, dice Hamilton.

La próxima batalla regulatoria de T-Mobile

Al revelar la incidente de ciberseguridad, T-Mobile restó importancia a la información de la cuenta robada y agregó que los datos eran «básicos» y «generalizados en las bases de datos de marketing». Si bien podría leerse como un rechazo rotundo del impacto en sus clientes, la distinción podría proteger a la empresa de los reguladores gubernamentales, agrega Hamilton.

«Los datos se pueden monetizar vendiéndolos a granel, aunque tengan poco valor real», dice Hamilton. «La mayoría de los datos del robo se pueden encontrar en fuentes públicas y es poco probable que atraigan acciones legales bajo las leyes estatales de privacidad como la CCPA (Ley de Privacidad del Consumidor de California)».

Sin embargo, T-Mo podría tener más problemas Europa con RGPD y los reguladores de la Oficina del Comisionado de Información (ICO) en el Reino Unido, dijo el CISO de NextDLP, Tim Cope, a Dark Reading. Sanciones como estas impulsarán en última instancia la inversión en la protección de ciberseguridad necesaria, agrega.

“Con suerte, la supervisión regulatoria de ICO y GDPR debería resultar en una gran variedad de multas junto con estas violaciones de datos”, dice Cope, “lo que a su vez debería alentar una mayor inversión en equipos de seguridad para ayudar a establecer mejores controles para proteger las API contra el actual y futuros ataques».