Škoda Auto sufrió una brecha de seguridad en su tienda en línea debido a una vulnerabilidad de software, resultando en el robo de datos personales y credenciales de clientes. La empresa ya corrigió la falla y notificó a las autoridades, aclarando que la información financiera no fue comprometida ya que no se almacena en sus sistemas. Se ha advertido a los usuarios afectados sobre posibles ataques de phishing y el riesgo de acceso a otras cuentas si reutilizaron sus contraseñas.

Škoda Auto, una subsidiaria wholly owned del Grupo Volkswagen, ha revelado una brecha de datos después de que atacantes hackearan su tienda en línea y robaran la información personal de un número no revelado de clientes.

El fabricante checo de automóviles de 130 años cuenta con más de 34.000 empleados y reportó ventas de más de 27.000 millones de euros y un beneficio de casi 2.000 millones de euros en 2025, habiendo entregado más de 1 millón de coches a los clientes.

Según reveló Škoda, los actores de amenazas obtuvieron acceso explotando una vulnerabilidad no especificada en el software de su portal de comercio electrónico. Tras detectar la brecha, la empresa informó del incidente a las autoridades pertinentes y ha corregido el fallo de seguridad explotado en el ataque.

"Como parte de nuestro monitoreo de seguridad técnica, descubrimos que personas no autorizadas habían explotado una vulnerabilidad en el software estándar utilizado para nuestra tienda en línea. Esto les permitió obtener temporalmente acceso no autorizado al sistema de la tienda", afirmó Škoda [enlace]. "La vulnerabilidad ha sido resuelta desde entonces, y el incidente ha sido entregado a un equipo especializado en forense de TI para su análisis técnico. Además, el incidente fue reportado a la autoridad de supervisión de protección de datos pertinente".

La información de los clientes accedida por los actores de amenazas incluye una combinación de nombres, direcciones, información de contacto (como direcciones de correo electrónico), números de teléfono, información de pedidos y credenciales de inicio de sesión (incluyendo el correo electrónico y un hash criptográfico de la contraseña).

Sin embargo, según Škoda, los atacantes no pudieron acceder a la información financiera de los clientes afectados porque no estaba almacenada en los sistemas comprometidos.

"Los detalles completos de la tarjeta de crédito no se almacenan en el sistema de la tienda, sino que son procesados exclusivamente por los respectivos proveedores de servicios de pago. Basándose en la información actual, el acceso directo a los detalles completos de la tarjeta de crédito no fue posible", añadió la compañía.

Además, aunque afirmó que no tiene pruebas de que los datos de acceso hayan sido utilizados indebidamente, Škoda advirtió a las personas afectadas que podrían ser blanco de ataques de phishing y que los actores de amenazas podrían intentar iniciar sesión en otras cuentas en línea si reutilizaron las mismas credenciales.

"En las próximas semanas, por favor, estén extra vigilantes con los correos electrónicos, mensajes de texto o llamadas telefónicas que hagan referencia a su relación con Škoda o a pedidos realizados en la tienda en línea, especialmente si se les pide introducir credenciales de inicio de sesión, revelar información confidencial o hacer clic en enlaces", añadió Škoda. "También es aconsejable revisar sus extractos bancarios y facturas de tarjetas de crédito como de costumbre y notificar inmediatamente a su banco o al proveedor de servicios de pago pertinente si nota algo inusual".

Un portavoz de Škoda no estuvo disponible inmediatamente para hacer comentarios cuando BleepingComputer solicitó más información sobre la brecha, incluyendo el número total de clientes afectados y si la empresa había estado en contacto con los atacantes para pagar un rescate.

El anuncio de Škoda se produce después de que los fabricantes de automóviles Renault y Dacia también revelaran una brecha de datos que afectó a clientes del Reino Unido en octubre, exponiendo una amplia gama de información personal y del vehículo, incluyendo nombres, direcciones y números de identificación y registro del vehículo.

Un mes antes, Jaguar Land Rover (JLR) también fue víctima de un ciberataque que provocó una caída del 43% en los volúmenes de venta al por mayor del tercer trimestre y costó a la empresa más de 220 millones de dólares tras interrumpir gravemente las operaciones de producción y venta minorista del fabricante de automóviles.

Fuente:
BleepingComputer