La plataforma de alojamiento de videos Vimeo ha confirmado una filtración de datos que resultó en acceso no autorizado a su base de datos de usuarios. El incidente de seguridad se originó por un compromiso en Anodot, un proveedor externo de análisis utilizado por Vimeo y otras grandes organizaciones. Este suceso subraya la creciente amenaza de los ataques a la cadena de suministro en el ecosistema de software como servicio (SaaS).

Brecha de Datos en Vimeo

La plataforma de alojamiento de videos Vimeo ha confirmado una brecha de datos que resultó en acceso no autorizado a su base de datos de usuarios. El incidente de seguridad se originó por un compromiso en Anodot, un proveedor externo de análisis utilizado por Vimeo y varias otras organizaciones importantes. Este evento resalta la creciente amenaza de los ataques a la cadena de suministro dentro del ecosistema de software como servicio (SaaS).

La brecha ha sido vinculada al notorio grupo de actores de amenazas conocido como ShinyHunters.

Reclamación de la Brecha por ShinyHunters

Según un reciente informe de Google Threat Intelligence, ShinyHunters ha estado llevando a cabo activamente campañas generalizadas de robo de datos en SaaS. Es probable que los atacantes hayan aprovechado conexiones API confiables entre Anodot y sus clientes para acceder al entorno de Vimeo. Este método representa un compromiso clásico en la cadena de suministro, permitiendo a los actores de amenazas eludir las defensas perimetrales de un objetivo principal al explotar un vínculo con un proveedor.

Alcance de los Datos Comprometidos

El equipo de seguridad de Vimeo ha completado un análisis forense inicial para determinar el alcance de la exposición de datos. El actor no autorizado extrajo con éxito conjuntos de datos específicos de la infraestructura de la compañía. Las bases de datos comprometidas contenían la siguiente información:

• Datos operativos técnicos internos.
• Títulos de videos y metadatos asociados.
• Direcciones de correo electrónico de clientes y usuarios en ciertos casos.

Vimeo ha confirmado que la infraestructura central permanece intacta y que no se expusieron datos altamente sensibles de los usuarios. Los actores de amenazas no accedieron al contenido real de los videos, credenciales de inicio de sesión válidas de los usuarios ni información de tarjetas de pago.

Al detectar el acceso no autorizado, Vimeo ejecutó un protocolo inmediato de respuesta a incidentes para contener la amenaza y evitar una mayor exfiltración de datos. La compañía implementó las siguientes medidas de seguridad:

• Desactivó de inmediato todas las credenciales activas del servicio Anodot.
• Eliminó y cortó por completo la integración de Anodot de los sistemas internos de Vimeo.
• Contrató expertos externos en forense digital y respuesta a incidentes para ayudar con la investigación.
• Notificó a las agencias relevantes de aplicación de la ley para rastrear las actividades del actor de amenazas.

Vimeo ha asegurado a su base de clientes que el incidente de seguridad no interrumpió sus servicios de alojamiento ni sus sistemas internos. Dado que las contraseñas de los usuarios y los datos financieros permanecen seguros, Vimeo no ha forzado un restablecimiento obligatorio de contraseñas en su plataforma.

Dado que algunas direcciones de correo electrónico de usuarios fueron expuestas, los clientes deben mantenerse vigilantes ante posibles campañas de phishing dirigidas. Los actores de amenazas suelen utilizar correos electrónicos robados en combinación con metadatos recopilados para elaborar ataques de ingeniería social convincentes.

Vimeo declaró que la investigación aún está en curso y prometió proporcionar más actualizaciones a medida que surjan nuevas pruebas forenses.