La startup española Glovo ha sufrido un ciberataque que ha permitido acceder a sus sistemas y vender accesos de cuentas de consumidores y trabajadores. Según desvela en una exclusiva de la revista Forbes, un ciberdelincuente ha conseguido acceder a los sistemas internos de la compañía y se ha dispuesto a vender información de la empresa.

 Glovo sufre un hackeo: a la venta en internet datos de clientes y 'riders' El acceso se produjo a través de una antigua interfaz del panel de administración

Glovo ha asegurado a Forbes que no se han robado datos de tarjetas bancarias de ningún tipo. La firma española tuvo constancia de la falla de seguridad el día 29 de abril, y fue descubierta por Alex Holden, fundador de la empresa centrada en ciberseguridad Hold Security.

Al parecer,  los atacantes tuvieron acceso a los sistemas de Glovo a través de "una interfaz de panel de administración antigua", desde la cual tenía acceso incluso al cambio de contraseñas de las cuentas de los clientes de la empresa. El problema ya ha sido notificado a la Agencia Española de Protección de Datos (AEPD).

La cronología de eventos sitúa a Alex Holden como el descubridor del problema. Posteriormente, avisó a la revista y Forbes advirtió de este problema a Glovo el pasado jueves después de que el medio confirmara junto a Holden que la empresa había sufrido este problema de seguridad. De hecho, ya hay clientes confirmados afectados por el ataque.

Un hecho llamativo que destaca la revista es que el mismo lunes Glovo aseguró que el problema estaba solucionado. No obstante, en ese mismo instante el atacante seguía cerrando tratos con compradores.

O al menos así lo prometía. Desde Glovo, aseguran que bloquearon "el acceso de terceros no autorizados" e implementaron "medidas adicionales para asegurar nuestra plataforma".

Aunque no hubo datos bancarios ni datos especialmente sensibles revelados en este ciberataque, lo cierto es que hay motivos para preocuparse. Holden explica que los datos afectados no estaban cifrados de la forma correcta y además dentro de la información se pudo ver filtrada información de los trabajadores de la compañía, como sus números IBAN.

Y esto es grave, debido a que la pandemia que dejó a toda España confinada tuvo un efecto colateral: el aumento de los pedidos de bienes y comidas a domicilio de la que se benefició Glovo. Por ende, la filtración de datos podría ser mucho más grave de lo que parece. La empresa no ha querido compartir más detalles de lo ocurrido y explican que han proporcionado a la AEPD "toda la información que necesitan para su investigación".

Fuentes:

https://www.elespanol.com/omicrono/software/20210504/glovo-sufre-ciberataque-roban-datos-clientes/578692687_0.html