Datos personales de clientes de Movistar y O2 expuestos en un acceso irregular a sus sistemas

Bueno, han tenido conocimiento en las últimas horas y por eso lo comunican. Lo que no te van a decir es desde cuándo ha existido ese acceso, lo normal es ponerse siempre en lo peor y pensar que llevará así meses, igual que en 2017 cuando tenían el parche disponible y aún así no se había aplicado.

Bueno, a mi padre no le ha llegado SMS y tampoco mail, supongo que no está entre los afectados, respecto a la noticia seguiremos viendo más de este estilo

Otro leak mas de muchos para luego vernderlos y bombardearnos a llamadas comerciales…

Me parece que Telefónica esta demostrando una madurez en temas de ciberseguridad, que ojalá otras empresas Españolas aprendieran. Ya el tener logs y tenerlos monitorizados (los accesos), el poder comunicarlo a la AEPD a mi me da mas seguridad, que cuando de golpe aparece en internet un volcado de información de clientes, y la empresa de turno ni se ha enterado ni ha dado aviso a la AEPD.

Yo he intentado leer entre líneas, el mensaje de O2 parece que da alguna pista más, lo único que no queda claro es si el acceso ha sido con credenciales comprometidas de algún usuario con privilegios para ver esa info o por una vulnerabilidad, lo que si parece descartar es algún tipo de infección, compromiso gordo (Intrusión con compromiso de Directorio Activo o de algún servidor de BBDD), yo sinceramente apuesto por lo primero, ya que para solucionar una vulnerabilidad necesitas mas tiempo (Desplegar el parche etc, mitigar con algún sistema estilo WAF etc…), parece aparte que tienen muy acotado los clientes afectados, esto ya indica que tenían perfectamente monitorizada esa información, si no todos los clientes tendrían que haber sido informado…si hubiera sido un volcado de una BBDD completa, hubiera sido diferente…hubiera afectado a todos los clientes seguramente.

Os leo a algunos, y creo que no entendéis muy bien como funciona el tema de la AEPD y la nueva RGPD, hay que notificar cualquier acceso a información por alguien no autorizado, no tiene que ser a una BBDD, o a un servidor, con que accedan a la interfaz gráfica de un sistema (CRM o alguna movida que tengas las telcos) con unas credenciales válidas (robadas) y vea información de clientes, eso ya se considera que hay que avisarlo, vamos que el tema de cifrar datos en una web en la que consultas datos, por ejemplo no tendría ningún sentido…tienen que poder leerse jajajaja @pepejil lo ha contestado por ahí, y es tal cúal él lo comenta…

Ya veremos que pasa, si la AEPD considera que telefonica tenia la monitorización suficiente, que detecto correctamente el "incidente" y que informó, puede perfectamente librarse de la multa, esto es lo que persigue el RGPD, que las empresas actuen correctamente y tengan los procesos engrasados, estaremos atentos a la resolución, creo que la hacen normalmente pública si no me equivoco.

Un saludo

A ver, nunca he sido fan de telefónica pero reconozco que si ha comunicado el incidente es porque se toman las cosas muy en serio. No sólo por posibles multas, sino por la cantidad de personas que recibirán llamadas con fines comerciales, sin haber dado sus datos a nadie. Mejor que estén avisados.

A muchos les sorprendería la cantidad de empresas que tienen incidentes y no han sido comunicados a la agencia, sin ir más lejos en mi último trabajo habían tenido un par de intrusiones y se llevaron las BBDD con los datos de clientes desde hace 15 años, los tiquets y facturas de los últimos tres, y sacaron hasta dónde compraba los tangas la secretaría… pero no dijeron ni pío.