Robo de registros telefónicos de 'casi todos' los clientes de AT&T en una filtración de datos

Incidente de filtración de datos de clientes de AT&T

• Filtración de datos de AT&T

  • AT&T confirmó que ciberdelincuentes robaron los registros telefónicos de casi todos sus clientes
  • Los datos robados incluyen números de teléfono, registros de llamadas y mensajes de texto, y datos relacionados con la ubicación de millones de clientes de AT&T

• Contenido de los datos robados

  • Incluyen números de teléfono y registros de llamadas y mensajes de texto de clientes de telefonía fija y móvil
  • No incluyen el contenido de las llamadas ni de los mensajes de texto
  • Incluyen metadatos de llamadas y mensajes de texto, como la cantidad de llamadas y mensajes y la hora de las llamadas
  • Algunos datos también incluyen registros posteriores al 2 de enero de 2023

• Impacto de la filtración

  • Se notificará a aproximadamente 110 millones de clientes de AT&T
  • También incluyen registros de llamadas de clientes de otras compañías de telecomunicaciones
  • Algunos datos incluyen números identificadores de sitios celulares que podrían usarse para rastrear ubicación

• Causa del incidente

  • AT&T detectó la filtración el 19 de abril
  • Los datos fueron robados de la empresa de datos en la nube Snowflake
  • La filtración ocurrió debido a que no se usó autenticación multifactor en Snowflake
  • Mandiant informó que se robaron datos de unos 165 clientes de Snowflake

• Respuesta legal

  • AT&T está colaborando con las fuerzas del orden para arrestar a los ciberdelincuentes
  • El FBI y el DOJ retrasaron el aviso en dos ocasiones por riesgos para la seguridad nacional y la seguridad pública

• Incidente anterior

  • AT&T ya había sufrido este año otra filtración de información de cuentas de clientes

Resumen de GN⁺

• La filtración de datos de AT&T afecta a aproximadamente 110 millones de clientes
• La causa principal fue una vulnerabilidad de seguridad derivada de no usar autenticación multifactor en Snowflake
• Este incidente plantea problemas graves relacionados con la protección de la privacidad de los clientes
• Otros servicios de datos en la nube con funciones similares incluyen AWS y Google Cloud

[GN⁺]

Opiniones en Hacker News

• Incluso si los 110 millones de clientes de AT&T gastaran solo 1 minuto adicional en administrar su cuenta, se desperdiciarían más de 209 años de tiempo

  • Las leyes sobre filtraciones de datos deberían ser más estrictas
  • La razón por la que las empresas solo toman medidas mínimas de seguridad es que casi no hay castigos reales por las filtraciones
  • Se debe exigir responsabilidad a las empresas y procesar penalmente a quienes causaron la filtración por negligencia
  • Se deben imponer multas enormes para que la dirección de la empresa y los accionistas sufran consecuencias reales

• En la filtración de datos de Snowflake, lo que se expuso fue información vendida a socios de marketing, no un aspecto operativo de AT&T

  • La misión de Snowflake es derribar los silos de datos, superar la complejidad y permitir una colaboración segura de datos
  • En Europa, este tipo de almacenamiento de datos es ilegal y tampoco es compatible con el Convenio Europeo de Derechos Humanos
  • Los proveedores de servicios no necesitan almacenar estos datos, y es fácil prohibirlo por ley

• Cancelé mi cuenta de AT&T hace 10 años, pero aun así seguían guardando mi dirección, nombre y SSN

  • Es absurdo que no existan leyes para castigar a organizaciones incompetentes

• La acción de AT&T se recuperó después de una caída inicial de -2.6%, y Snowflake bajó -3.9%

  • El mercado cree que AT&T es inmune

• Según el artículo de TechCrunch, como se incluían identificadores de sitios celulares, también se filtró la ubicación aproximada

• Los consumidores se han vuelto insensibles ante las filtraciones de datos y casi no hay indignación

  • Sin indignación de los consumidores, las empresas no tienen incentivos para esforzarse más en prevenir filtraciones

• A principios de este año, los SSN se filtraron en la dark web

  • Un año de monitoreo no es suficiente; se necesita monitoreo de por vida
  • No existe un incentivo real para la seguridad
  • Se les debería obligar a pagar el costo de un monitoreo indefinido

• Empresas como AT&T son inmunes al robo de identidad

  • El EIN de una empresa es público, pero con eso no se puede cometer robo de identidad ni fraude con tarjetas de crédito

• Los datos deberían eliminarse con el tiempo

  • Casi nunca es necesario que un cliente revise quién lo llamó el año pasado
  • Salvo en casos como investigaciones criminales o espionaje, los clientes no tienen derecho a decidir cuánto tiempo se almacenan sus datos ni cómo se usan
  • Las empresas deberían ofrecer herramientas y funciones para que los clientes puedan gestionar sus propios datos