Masiva filtración de datos de AT&T expone registros de llamadas de 109 millones de clientes

Luis Quiles

julio 12, 2024

Protección de Información, Seguridad de Información

AT&T advierte sobre una masiva filtración de datos en la que actores maliciosos robaron los registros de llamadas de aproximadamente 109 millones de clientes, o casi todos sus clientes móviles, desde una base de datos en la cuenta de Snowflake de la compañía.

La compañía confirmó a WM Tech PR que los datos fueron robados de la cuenta de Snowflake entre el 14 de abril y el 25 de abril de 2024.

En un formulario 8-K presentado el viernes por la mañana ante la SEC, AT&T afirma que los datos robados contienen los registros de llamadas y mensajes de casi todos los clientes móviles de AT&T y de los operadores de redes móviles virtuales (MVNO) realizados entre el 1 de mayo y el 31 de octubre de 2022, y el 2 de enero de 2023

Los datos robados incluyen:

Números de teléfono de clientes de línea fija de AT&T y de clientes de otros operadores.
Números de teléfono con los que interactuaron los números móviles de AT&T o de MVNO.
Conteo de interacciones (por ejemplo, el número de llamadas o mensajes).
Duración total de las llamadas por día o mes.
Para un subconjunto de registros, uno o más números de identificación de sitios celulares.

Los registros expuestos no contenían el contenido de las llamadas o mensajes, nombres de clientes ni ninguna otra información personal como números de Seguro Social o fechas de nacimiento.

Aunque los registros accedidos no contienen información sensible que exponga directamente las identidades de los clientes, los metadatos de las comunicaciones pueden usarse para correlacionarlos con información disponible públicamente y derivar identidades fácilmente en muchos casos.

La compañía dice que después de enterarse de la brecha trabajaron con expertos en ciberseguridad y notificaron a las fuerzas del orden. El Departamento de Justicia de los Estados Unidos dio permiso a AT&T en dos ocasiones, el 9 de mayo de 2024 y el 5 de junio de 2024, para retrasar la notificación pública debido a los posibles riesgos para la seguridad nacional y la seguridad pública.

«Poco después de identificar una posible brecha en los datos de los clientes y antes de tomar una decisión de materialidad, AT&T contactó al FBI para informar sobre el incidente. Al evaluar la naturaleza de la brecha, todas las partes discutieron un posible retraso en la notificación pública bajo el artículo 1.05(c) de la norma de la SEC, debido a los posibles riesgos para la seguridad nacional y/o la seguridad pública», dijo el FBI a BleepingComputer.

«AT&T, el FBI y el DOJ trabajaron en colaboración durante el primer y segundo proceso de retraso, mientras compartían información clave sobre amenazas para fortalecer los intereses de investigación del FBI y para ayudar en el trabajo de respuesta al incidente de AT&T.»

«El FBI prioriza la asistencia a las víctimas de ciberataques, anima a las organizaciones a establecer una relación con su oficina local del FBI antes de un incidente cibernético, y a contactar al FBI temprano en caso de una brecha.»

AT&T está trabajando con las fuerzas del orden para arrestar a los involucrados y afirma que ya han detenido a al menos una persona.

AT&T dijo que ha implementado medidas adicionales de ciberseguridad para bloquear intentos de acceso no autorizado en el futuro y prometió notificar pronto a los clientes actuales y anteriores afectados por este incidente.

Mientras tanto, los clientes de AT&T pueden seguir los enlaces proporcionados en esta página de preguntas frecuentes (FAQ) para verificar si los datos de su número de teléfono fueron expuestos y para descargar los datos asociados con su número que fueron robados.

Hasta hoy, AT&T dice que no tiene evidencia de que los datos accedidos se hayan hecho públicos y afirma que el incidente no está relacionado con la brecha de datos de 2021 que AT&T confirmó a principios de este año, que afectó a 51 millones de clientes.

Los ataques de robo de datos en Snowflake

AT&T ha confirmado a WM Tech PR que los datos fueron robados de su cuenta de Snowflake como parte de una ola reciente de ataques de robo de datos utilizando credenciales comprometidas.

Snowflake es un proveedor de bases de datos en la nube que permite a los clientes realizar almacenamiento y análisis de datos en grandes volúmenes de datos.

El mes pasado, Mandiant reveló que un actor de amenazas con motivación financiera rastreado como ‘UNC5537’ estuvo detrás de múltiples ataques contra clientes de Snowflake, utilizando credenciales de cuenta robadas a través de malware de robo de información.

Desde entonces, Snowflake ha introducido una opción de aplicación obligatoria de autenticación multifactor (MFA) para los administradores de espacios de trabajo para proteger las cuentas contra tomas de control fáciles que conducen a violaciones de datos que afectan a millones de personas.

La lista de víctimas de alto perfil a la que ahora se suma AT&T incluye Advance Auto Parts, Pure Storage, Los Ángeles Unified, Neiman Marcus, Ticketmaster y Banco Santander.