¿Recuerdas a principios de los años ochenta cuando el lema de AT&T era "Extiende la mano y toca a alguien"? Aparentemente, los ciberdelincuentes tomaron esto literalmente en abril de este año cuando tocaron los datos del registro de llamadas de más de un millón de clientes de AT&T.

El 19 de abril, AT&T se enteró de que unos intrusos afirmaban tener acceso a sus datos. Luego, los intrusos robaron datos de registro de AT&T relacionados con llamadas y mensajes de texto inalámbricos entre el 1 de mayo y el 31 de octubre de 2022. La información del registro eran metadatos que contenían números de teléfono a los que llamaron los usuarios de servicios inalámbricos, cuántas llamadas hicieron y cuánto duraron las llamadas en total. También incluía números de identificación del sitio celular para algunas de esas llamadas.

Los datos robados no incluían información personal identificable, como el contenido de llamadas o mensajes de texto, números de la Seguridad Social o fechas de nacimiento. Sin embargo, como señala AT&T en su informe a la SEC sobre el incidente, «Si bien los datos no incluyen los nombres de los clientes, a menudo existen maneras, mediante herramientas en línea de acceso público, de encontrar el nombre asociado a un número de teléfono específico». La inclusión de identificadores de estaciones base también permite utilizar este conjunto de datos para analizar la ubicación de algunas de estas llamadas y, por lo tanto, la de los propietarios de los números.

Seis meses de registros de llamadas contienen una gran cantidad de datos. AT&T ha declarado que informará a 110 millones de clientes cuyos datos de llamadas estuvieron implicados en la violación de datos. En su presentación, dijo que no creía que los datos se hubieran hecho públicos.

AT&T presentó la presentación ante la SEC por la infracción el 12 de julio, muy lejos del plazo de cuatro días. Retrasó la presentación de acuerdo con la solicitud del Departamento de Justicia, ya que el Departamento de Justicia decidió que presentar el informe dentro del período normal de cuatro días solicitado por la SEC sería potencialmente peligroso. Eso tiene sentido, dado que la violación aparentemente continuó después de que la empresa de telecomunicaciones se enteró por primera vez de la intrusión de los actores de la amenaza. Los datos del registro de llamadas fueron robados días después de que AT&T dijera que se enteró de la intrusión.

La violación no ocurrió en absoluto en los sistemas de AT&T. En cambio, ocurrió a través de un proveedor de nube externo que la compañía identificó en la prensa como la empresa de almacenamiento de datos basada en la nube Snowflake. Este no fue el único robo de datos de este tipo en Snowflake; Según Mandiant, a 165 clientes les robaron los datos de los sistemas de almacenamiento de la empresa. Sin embargo, esto no parecía ser una vulnerabilidad de codificación en el software de Snowflake. Los clientes víctimas de estos robos, entre los que se encontraban marcas como Ticketmaster, tenían una cosa en común: las credenciales de sus cuentas habían sido robadas mediante malware y no utilizaban autenticación multifactor.

¿Qué podemos aprender de la infracción de AT&T/Snowflake?

Todos podemos aprender de los errores de los clientes afectados por la infracción de Snowball, dicen los expertos. "Las organizaciones deben tener una comprensión clara del modelo de responsabilidad de seguridad compartida que viene con las relaciones con los proveedores e implementar controles sólidos de gestión de identidad y acceso en plataformas en la nube", dice Milda Petraityte, investigadora de la consultora de ciberseguridad S-RM.

Snowflake tomó medidas por su cuenta, implementando una nueva función para que los administradores de clientes aplicaran la autenticación multifactor (MFA) obligatoria el 9 de julio, casi tres meses después de que comenzara la oleada de inicios de sesión no autorizados en sus sistemas. Es un comienzo, pero cabe preguntarse por qué esta función no estaba disponible desde antes, o por qué, en aras de una verdadera ciberseguridad, existiría un modelo operativo distinto a la MFA obligatoria.

Las empresas aún están muy rezagadas en el uso de la autenticación multifactor (MFA). Según el informe "Estado de la Ciberseguridad 2024" de CompTIA , solo el 41 % de las empresas incluye el uso de MFA en sus estrategias de ciberseguridad. Únicamente el 38 % utiliza algún tipo de gobernanza de cargas de trabajo en la nube.

El otro problema que metió en problemas a las empresas fue no detectar y mitigar el robo de credenciales. "Varias empresas no sabían que habían sido comprometidas con ladrones de información, por lo que sus credenciales estaban disponibles en la web oscura", señala Stephanie Schneider, analista de inteligencia de amenazas cibernéticas en la empresa de gestión de contraseñas LastPass. La detección es un paso crítico en cualquier plan de respuesta a incidentes. Debido a que las empresas no lograron detectar la infección de malware que provocó el robo de credenciales y luego no implementaron protección de acceso adicional, quedaron vulnerables.

Las empresas pueden aprender sobre prácticas seguras como estas en los estándares comunes de ciberseguridad. Por ejemplo, la norma ISO 270001 menciona explícitamente métodos de autenticación seguros, como la autenticación de dispositivos externos, en su Anexo A 8.5 . También menciona medidas como la verificación y prevención del uso de software no autorizado, protecciones integrales contra malware en múltiples puntos de la infraestructura y la capacitación de los empleados para que estén al tanto de la ingeniería social y la instalación de software malicioso en el Control 8.7: Protección contra el malware.

La implementación efectiva de tales medidas podría haber ayudado a prevenir el desastre de Snowflake de AT&T, junto con las infracciones de muchas otras empresas a través del servicio basado en la nube. Sin embargo, la empresa de telecomunicaciones ha tenido que lidiar con otros incidentes de ciberseguridad.

En marzo de este año, AT&T declaró que la información personal identificable de 73 millones de clientes circulaba en la web oscura y que desconocía su origen. Estos datos, que salieron a la luz tras una brecha de seguridad en 2021, fueron suficientes para desencadenar una demanda colectiva por parte de clientes frustrados.

En enero de 2023, la empresa de telecomunicaciones informó que la información personal de nueve millones de cuentas de clientes se había visto comprometida a través de uno de sus socios de marketing externos. Esto resalta la necesidad de evaluaciones sólidas de los proveedores y auditorías de seguridad continuas de terceros para ayudar a proteger no solo la propia red de la empresa sino todo su ecosistema de datos.

Gestionar un ecosistema de este tipo supone un reto para una empresa tan extensa como AT&T, sobre todo teniendo en cuenta que también vendió los datos de geolocalización de sus clientes a terceros sin su consentimiento . Esto también evidencia la necesidad de una mayor regulación para obligar a estas empresas a implementar controles de seguridad y privacidad rigurosos.