Sin embargo, Inditex señaló que los atacantes no obtuvieron acceso a los nombres, números de teléfono, direcciones, credenciales o información de pago (como tarjetas bancarias) de los clientes afectados.

También añadió que sus operaciones y sistemas no se vieron afectados, pero aún no ha atribuido la brecha a un actor de amenazas específico ni ha compartido el nombre del proveedor hackeado.

"Inditex ha aplicado inmediatamente sus protocolos de seguridad y ha comenzado a notificar a las autoridades pertinentes sobre este acceso no autorizado, que se deriva de un incidente de seguridad que afectó a un antiguo proveedor de tecnología y ha impactado a varias empresas que operan internacionalmente", dijo Inditex [aquí].

Mientras Inditex y Zara aún no han revelado más detalles sobre el incidente, incluido el número total de personas afectadas, la banda de extorsión ShinyHunters ha reclamado la responsabilidad de la brecha y ha filtrado un archivo de 140 GB que contiene documentos presuntamente robados de instancias de BigQuery utilizando tokens de autenticación de Anodot comprometidos.

Have I Been Pwned analizó los datos robados y dijo hoy que la brecha de datos resultante expuso la información de 197.400 personas [aquí], incluyendo direcciones de correo electrónico únicas, ubicaciones geográficas, compras y tickets de soporte. "Los datos contenían 197k direcciones de correo electrónico únicas junto con SKUs de productos, IDs de pedido y el mercado donde se originó el ticket de soporte", dijo Have I Been Pwned.

Anteriormente, la banda de ciberdelincuencia informó que habían robado datos de docenas de empresas utilizando tokens de autenticación de Anodot, añadiendo que fueron bloqueados por detección basada en IA al intentar robar datos de instancias de Salesforce.

El grupo también ha sido vinculado a una campaña generalizada de vishing dirigida a las cuentas de SSO de Microsoft Entra, Okta y Google de empleados y agentes de Outsourcing de Procesos de Negocio (BPO) para robar datos de aplicaciones SaaS conectadas (incluyendo Salesforce, SAP, Slack, Adobe, Atlassian, Zendesk, Dropbox, Microsoft 365, Google Workspace y otras) tras vulnerar las cuentas corporativas de SSO.

Otras brechas reclamadas por ShinyHunters en los últimos meses incluyen Google, Cisco, PornHub, el gigante de citas en línea Match Group, el servicio de video Vimeo, Rockstar Games, el gigante de seguridad del hogar ADT, la Comisión Europea, la plataforma de desarrollo en la nube Vercel, el gigante de tecnología educativa McGraw Hill, el fabricante de dispositivos médicos Medtronic, el operador de líneas de cruceros Carnival, la cadena de tiendas de conveniencia 7-Eleven y la empresa de formación online Udemy.

Más recientemente, ShinyHunters hackeó dos veces al gigante de tecnología educativa Instructure, la segunda vez explotando una vulnerabilidad de seguridad para desfigurar los portales de inicio de sesión de Canvas de aproximadamente 330 colegios y universidades y amenazando con filtrar los datos robados en la brecha anterior de Instructure a menos que se pague un rescate.

MANGO, otro gigante minorista de moda español, también envió avisos de brecha de datos a sus clientes en octubre, advirtiendo que los datos personales utilizados en campañas de marketing habían sido comprometidos después de que su proveedor de marketing fuera hackeado. Sin embargo, ningún grupo de ransomware o extorsión ha reclamado el incidente de MANGO, por lo que los atacantes siguen siendo desconocidos.

Fuente:
BleepingComputer