Una retrospectiva de los 10 mayores éxitos cibernéticos en el mundo del deporte

Los Juegos Olímpicos, el Mundial de la FIFA y la Super Bowl son solo algunos ejemplos de eventos deportivos emblemáticos que ponen de manifiesto la importancia mundial del sector del deporte profesional.

Sin embargo, mientras que el deporte profesional despierta pasión y emociones entre los aficionados, a los ciberdelincuentes no les importan en absoluto los aspectos competitivos del deporte ni el sentimiento de comunidad con otros aficionados. En cambio, intentarán incansablemente aprovecharse del alcance y los recursos del sector para llenarse los bolsillos con ganancias obtenidas de forma ilícita.

Esta cruda realidad se refleja en los datos. Según a Encuesta de 2020 para el Centro Nacional de Ciberseguridad del Reino Unido (NCSC), que También hemos tratado este tema aquíUn sorprendente 70 % de las organizaciones deportivas había sufrido al menos un incidente cibernético o una actividad cibernética maliciosa. Por cierto, esta cifra superaba con creces la de las empresas británicas en general (32 %). La industria deportiva europea es la única responsable de ello más del 2 % del PIB del continenteEs innegable que hay mucho en juego.

Mientras crece la expectación ante los próximos Juegos Olímpicos de Verano de 2024 en París, repasamos diez casos en los que organizaciones deportivas fueron víctimas de ciberataques.

1. Manual de BEC

Lo mencionado anteriormente Informe del NSCS seleccionado Estafa de suplantación de identidad en el correo electrónico empresarial (BEC) como la mayor amenaza para las organizaciones deportivas. Para ilustrar este punto, se describió con detalle un incidente en el que la cuenta de correo electrónico del director general de un club de la Premier League, cuyo nombre no se ha revelado, fue comprometida durante las negociaciones sobre el traspaso de un jugador por valor de más de un millón de libras (1,3 millones de dólares estadounidenses).

El ataque de spear-phishing atrajo a la víctima a una página de inicio de sesión falsa de Office 365, donde, sin saberlo, reveló sus datos de acceso. A continuación, los delincuentes intentaron llevar a cabo una estafa BEC por el importe mencionado anteriormente, pero, afortunadamente, el banco intervino en el último momento y frustró el plan.

Sin embargo, otro conocido club de fútbol, el Lazio de Roma, de Italia, pareció tener menos suerte. En consecuencia Informes del año 2018Se indujo a la Lazio a abonar una comisión por transferencia por valor de 2,5 millones de dólares estadounidenses en una cuenta bancaria controlada por estafadores.

2. Puesto de rodillas por el ransomware

En noviembre de 2020, El Manchester United ha sido víctima de un ataque de ransomware Esto afectó al funcionamiento digital del club. Como suele ocurrir en los ataques de ransomware, los delincuentes exigieron el pago de un rescate a cambio de descifrar los datos y restablecer el acceso a los sistemas informáticos del club.

El Manchester United desconectó rápidamente sus sistemas para limitar los daños y evitar que el ransomware siguiera propagándose por la red. Además, colaboraron con expertos en ciberseguridad y con las fuerzas del orden para investigar el incidente y determinar su alcance. Finalmente, el Manchester United logró contener el ataque y restablecer sus sistemas. sin pagar el rescate.

Siguiendo con el tema de los ataques de ransomware: los San Francisco 49ers, una de las franquicias más populares de la NFL, anunciado en 2022, que la información confidencial de 20 000 empleados y aficionados se vio comprometida en un ataque de ransomware a principios de año. Curiosamente, la organización estuvo de acuerdo con ello indemnizar a las víctimas.

LECTURA RELACIONADA: Datos deportivos a cambio de un rescate: ya no es solo diversión y juego

3. Malware «Olympic»

La ceremonia de inauguración de los Juegos Olímpicos de Invierno de 2018 en Pyeongchang, Corea del Sur, se vio interrumpida por un invitado inesperado: Malware «Olympic Destroyer». El software malicioso se infiltró en la infraestructura informática del evento, interrumpió el desarrollo de la ceremonia y provocó el caos entre los espectadores. Entre otras cosas, se desactivaron los puntos de acceso wifi y las retransmisiones televisivas, y se impidió a los espectadores asistir al evento.

El ataque borró sistemáticamente información crítica de los sistemas Windows afectados. Además, el malware buscó puntos de acceso a la red para propagarse aún más, lo que agravó los daños en todos los dispositivos conectados. Además, Olympic Destroyer tenía la capacidad de instalar software muy sofisticado diseñado para capturar contraseñas de forma encubierta.

El ataque, que se atribuye en parte a los grupos APT Sandworm y Fancy Bear, se dirigió principalmente contra la página web oficial del evento, los servidores de las estaciones de esquí en las que se celebraban las competiciones olímpicas, así como a dos proveedores de servicios informáticos que gestionaban la infraestructura técnica del evento. El incidente ha puesto de manifiesto, en última instancia, lo vulnerables que son los eventos deportivos de alto nivel ante las ciberamenazas.

4. Su historial médico ya es público

«Olympic Destroyer» no fue el único caso en el que un grupo de ciberespionaje se fijó como objetivo a una conocida organización deportiva internacional. En 2016 se produjo una grave filtración de datos en la Agencia Mundial Antidopaje (AMA), en la que se reveló la información médica de varias figuras deportivas de renombre mundial.

El incidente, cuyas víctimas incluyeron a las tenistas Venus y Serena Williams y a la gimnasta Simone Biles, sacó a la luz las autorizaciones de uso terapéutico (AUT) concedidas a los deportistas, que les permiten utilizar sustancias o métodos prohibidos siempre que hayan sido recetados para tratar enfermedades legítimas.

La AMA atribuyó el ataque al grupo Fancy Bear y afirmó que la infracción no solo socava la integridad del programa de TUE de la AMA, sino que también pone en peligro la misión más amplia de la agencia de salvaguardar la equidad y la limpieza en el deporte.

5. Una canasta llena de datos

En marzo de 2023, la Asociación Nacional de Baloncesto (NBA) publicó un comunicado sobre una violación de la protección de datos en uno de sus proveedores externos de correo electrónico, lo que provocó el robo de los nombres y las direcciones de correo electrónico de los aficionados. Aunque los sistemas de la NBA no se vieron comprometidos, el incidente puso de manifiesto la vulnerabilidad de los proveedores externos frente a las ciberamenazas.

En la declaración sobre el incidente, se aconsejó a los destinatarios que se mantuvieran alerta ante los posibles riesgos de ataques de phishing e ingeniería social que podrían aprovechar la información sustraída. La NBA aseguró a los usuarios que sus nombres de usuario y contraseñas no se habían visto comprometidos. No obstante, la organización activó sus protocolos de respuesta ante incidentes y llevó a cabo una investigación exhaustiva para analizar el suceso en profundidad.

Aunque los propios sistemas de la NBA no se vieron afectados, la vulneración de un proveedor externo de boletines informativos provocó el robo de datos personales. Esta violación puso de manifiesto la importancia de garantizar la seguridad de todos los componentes del ecosistema de una organización, así como la situación de seguridad de los proveedores de servicios externos. El refuerzo de las medidas de ciberseguridad y el establecimiento de protocolos sólidos para la supervisión y la respuesta ante incidentes son fundamentales para mitigar el impacto de este tipo de sucesos Las violaciones de seguridad pueden afectar a las organizaciones y a sus clientes.

6. Houston, tenemos un problema

La icónica frase «Houston, tenemos un problema» resurgió en abril de 2021, cuando los Houston Rockets fueron víctimas de un ciberataqueperpetrado por la banda responsable del ransomware Babuk.

Este ataque tuvo graves consecuencias para uno de los equipos más destacados de la NBA. Los atacantes asumieron la responsabilidad de la filtración de más de 500 GB de información confidencial, entre la que se incluían datos sensibles como contratos de jugadores, datos de clientes y datos financieros.

Aunque el ransomware Babuk no se cuenta entre las variantes más sofisticadas, sus repercusiones fueron considerables. El ataque siguió representando un riesgo para organizaciones de otros sectores, entre ellos la sanidad y la logística. Este tipo de incidentes ponen de manifiesto la naturaleza indiscriminada de las ciberamenazas y la urgente necesidad de contar con medidas de ciberseguridad sólidas en todos los sectores.

7. No hay escapatoria

Sigamos un momento con el tema de los ciberataques que azotan el mundo del baloncesto. En un partido de baloncesto, el final de un cuarto se señala con el sonido de un timbre. En octubre de 2023, el equipo francés de baloncesto ASVEL escuchó un pitido de otro tipo: indicaba una filtración de datos orquestada por la banda de ransomware NoEscape.

El equipo reconoció el ataque y lamentó la filtración de 32 GB de datos sensibles, entre los que se incluían información de los jugadores, como pasaportes y documentos de identidad, contratos, acuerdos de confidencialidad y otros documentos legales.

8. Un incidente real

Volvamos ahora al fútbol. Toda la actitud que el Real Sociedad había mostrado en el terreno de juego, ante las prometedoras perspectivas en la Liga de Campeones y en la Liga española, se vio bruscamente interrumpida el 18 de octubre^de2023, cuando el club emitió un escueto comunicado en la que anunciaba que había sido víctima de un ciberataque.

Este incidente provocó el compromiso de servidores en los que se almacenaban datos sensibles, entre ellos nombres y apellidos, direcciones postales, direcciones de correo electrónico, números de teléfono e incluso datos de cuentas bancarias de abonados y accionistas.

Como respuesta, el club aconsejó a las víctimas que vigilaran sus cuentas en busca de actividades sospechosas. Además, habilitaron un canal de comunicación por correo electrónico a través del cual las personas afectadas pueden solicitar más ayuda o aclaraciones.

9. Boca en el punto de mira

El Club Atlético Boca Juniors, con sede en Buenos Aires (Argentina), goza de reconocimiento mundial. Sin embargo, ese gran reconocimiento no impidió que los ciberdelincuentes pusieran al club en su punto de mira; más bien al contrario.

El 16 de septiembre^ThEn 2022, el Boca Juniors fue víctima de un ataque que comprometió su cuenta oficial de YouTube. Los atacantes tomaron el control del canal y difundieron información para promocionar la criptomoneda Ethereum, algo que, de hecho, es bastante típico en las estafas con criptomonedas.

En respuesta a la intrusión, el Boca Juniors emitió de inmediato un comunicado oficial a través de Twitter (ahora X) en el que aseguraba a los aficionados y a las partes interesadas que actuaría con rapidez para recuperar el control de la cuenta comprometida. En cuestión de horas, el club logró restablecer con éxito su presencia en línea.

10. ¿Un gol en propia puerta?

Un ataque contra la Real Federación Neerlandesa de Fútbol (KNVB) en abril de 2023 provocó el robo de datos confidenciales de empleados y miembros de la organización. El incidente, atribuido a la famosa banda de ransomware LockBit, fue confirmado por la KNVB, la federación que agrupa a las ligas de fútbol profesional del país.

La filtración afectó a numerosas víctimas, entre ellas padres de jugadores de las categorías inferiores, jugadores internacionales, profesionales entre 2016 y 2018, personas de contacto del Centro Médico Deportivo de la KNVB y personas que participaron en los asuntos disciplinarios de la organización entre 1999 y 2020.

Estafas de las que todos podemos ser víctimas

También hay una serie de casos aleccionadores que demuestran que incluso quienes no somos deportistas somos un objetivo interesante para la ciberdelincuencia.

Dado que, por ejemplo, el espectáculo del Mundial de fútbol, que se celebra cada cuatro años, atrae a miles de millones de espectadores de todo el mundo, los estafadores ven en ello una oportunidad excelente para atraer a nuevas víctimas a sus trampas. Como era de esperar, las estafas relacionadas con el Mundial son un problema recurrente que, a menudo, hace creer a los destinatarios que han sido ellos quienes lo han hecho. He ganado entradas para el evento o atraiga a los usuarios a sitios web que Descargar malware en sus dispositivos. También habíamos visto antes una campaña que resultaba engañosa usuarios de WhatsApp que no se dan cuenta con el aliciente de las camisetas de fútbol gratis.

Grado

Al igual que cualquier otro sector, el deporte profesional también supone un reto para los ciberatacantes. Las historias de advertencia que aquí se destacan representan solo una pequeña parte de la avalancha de intentos diarios de ciberataques. Para el sector deportivo es imprescindible mantenerse alerta, por así decirlo, «no perder de vista el balón», y seguir atento a las amenazas en el ámbito digital, ya que los ciberdelincuentes no dejarán de lanzar ataques nuevos y cada vez más complejos.