La empresa de venta de entradas en línea "See" ha sido manipulada durante dos años y medio por atacantes

See Tickets es un jugador global importante en el negocio de venta de entradas para eventos en línea: le venderán entradas para festivales, espectáculos de teatro, conciertos, clubes, conciertos y mucho más.

La compañía acaba de admitir una importante violación de datos que comparte al menos una característica con los amplificadores preferidos por los artistas de rock notorios. Spinal Tap: "Todos los números van a 11, en todos los ámbitos".

De acuerdo con la plantilla de correo electrónico que See Tickets usó para generar el mailing que se envió a los clientes (gracias a Phil Muncaster de Infosecurity Magazine para obtener un enlace a la Sitio web del Departamento de Justicia de Montana para una copia oficial), la violación, su descubrimiento, su investigación y remediación (que aún no están terminados, por lo que este podría llegar hasta el 12) se desarrolló de la siguiente manera:

• 2019-06-25. A más tardar en esta fecha, los ciberdelincuentes aparentemente habían implantado malware para robar datos en las páginas de pago de eventos administradas por la empresa. (Los datos en riesgo incluyen: nombre, dirección, código postal, número de tarjeta de pago, fecha de vencimiento de la tarjeta y número de CVV).
• 2021-04. Ver entradas "fue alertado de actividad que indica un posible acceso no autorizado".
• 2021-04. Se inició una investigación que involucra a una empresa de ciberforense.
• 2022-01-08. La actividad no autorizada finalmente se cierra.
• 2022-09-12. Ver Tickets finalmente concluye ese ataque "puede haber dado lugar a un acceso no autorizado" a la información de la tarjeta de pago.
• 2022-10. (Investigación en curso). Ver entradas dice "no estamos seguros de que su información se haya visto afectada", pero notifica a los clientes.

En pocas palabras, la brecha duró más de dos años y medio antes de que fuera detectada, pero no por See Tickets.

Luego, la brecha continuó durante nueve meses más antes de que se detectara y remediara adecuadamente, y los atacantes fueran expulsados.

Luego, la empresa esperó otros ocho meses antes de aceptar que los datos "podrían" haber sido robados.

See Tickets esperó un mes más antes de notificar a los clientes, admitiendo que aún no sabía cuántos clientes habían perdido datos en la filtración.

Incluso ahora, más de tres años después de la primera fecha en la que se sabe que los atacantes estuvieron en los sistemas de See Ticket (aunque, por lo que sabemos, las bases para el ataque pueden haber sido anteriores a esto), la compañía aún no ha concluido su investigación, por lo que aún puede haber más malas noticias por venir.

¿Qué sigue?

El correo electrónico de notificación de See Tickets incluye algunos consejos, pero su objetivo principal es decirle qué puede hacer usted mismo para mejorar su ciberseguridad en general.

En cuanto a decirle lo que la propia empresa ha hecho para compensar esta violación prolongada de la confianza y los datos del cliente, todo lo que ha dicho es: “Hemos tomado medidas para implementar salvaguardas adicionales en nuestros sistemas, incluso fortaleciendo aún más nuestro monitoreo, autenticación y codificación de seguridad”.

Dado que See Tickets fue alertado de la infracción por otra persona en primer lugar, después de no darse cuenta durante dos años y medio, no se puede imaginar que la empresa tardaría mucho en poder establecer pretenden “fortalecer” su monitoreo de seguridad, pero aparentemente lo ha hecho.

En cuanto al consejo que See Tickets entrega a sus clientes, esto se reduce a dos cosas: revise sus estados financieros regularmente y esté atento a los correos electrónicos de phishing que intentan engañarlo para que entregue información personal.

Estas son buenas sugerencias, por supuesto, pero protegerse del phishing no habría hecho ninguna diferencia en este caso, dado que todos los datos personales robados se tomaron directamente de páginas web legítimas que los clientes cuidadosos se habrían asegurado de visitar en primer lugar.

¿Qué hacer?

No sea un entrenador lento de seguridad cibernética: asegúrese de que sus propios procedimientos de detección y respuesta a amenazas sigan el ritmo de los TTP (herramientas, tecnicas y procedimientos) del ciberinframundo.

Los delincuentes evolucionan continuamente los trucos que utilizan, que van mucho más allá de la técnica de la vieja escuela de simplemente escribir nuevo malware.

De hecho, muchos compromisos en estos días apenas (o no) usan malware, siendo lo que se conoce como ataques dirigidos por humanos en el que los delincuentes intentan confiar en la medida de lo posible en las herramientas de administración del sistema que ya están disponibles en su red.

Los ladrones tienen amplia gama de TTP no solo para ejecutar código de malware, sino también para:

• Irrumpir en para empezar.
• De puntillas por la red una vez que están adentro.
• pasar desapercibido durante el mayor tiempo posible.
• Mapeo de su red y sus convenciones de nomenclatura tan bien como las conoce usted mismo.
• Establecer formas furtivas como puedan de volver a entrar más tarde si los echas.

Este tipo de atacante se conoce generalmente como un adversario activo, lo que significa que a menudo son tan prácticos como sus propios administradores de sistemas y pueden mezclarse con operaciones legítimas tanto como pueden:

Simplemente eliminar cualquier malware que los delincuentes puedan haber implantado no es suficiente.

También debe revisar cualquier configuración o cambios operativos que puedan haber realizado, en caso de que hayan abierto una puerta trasera oculta a través de la cual ellos (o cualquier otro delincuente a quien vendan su conocimiento más adelante) puedan regresar. más tarde en su tiempo libre.

Recuerde, como nos gusta decir en el Podcast de seguridad desnuda, aunque sabemos que es un cliché, que la ciberseguridad es un viaje, no un destino.

Si no tiene suficiente tiempo o experiencia para seguir adelante con ese viaje por su cuenta, no tenga miedo de buscar ayuda con lo que se conoce como MDR (detección y respuesta gestionadas), donde te unes a un grupo de confianza de expertos en ciberseguridad para ayudar a mantener sus propios diales de violación de datos muy por debajo de un "11" similar a Spinal Tap.

---