T-Mobile ha admitido que un actor malicioso accedió a la información personal y de cuentas de decenas de millones de clientes a través de una API.

La compañía estadounidense de telefonía móvil explicó ayer en un informe a la SEC que el ataque comenzó “alrededor” del 25 de noviembre de 2022, pero no fue descubierto hasta el 5 de enero de 2023, momento a partir del cual T-Mobile contuvo y corrigió el incidente en un día.

Entre la información comprometida por el actor de la amenaza se encontraban nombres de clientes, direcciones de facturación y de correo electrónico, números de teléfono, fechas de nacimiento, números de cuenta de T-Mobile e información como el número de líneas de la cuenta y las características del plan.

T-Mobile trató de restar importancia a la gravedad de la brecha en un comunicado relacionado, afirmando que “casi toda” la información robada “es del tipo ampliamente disponible en bases de datos de marketing o directorios”.

Esta afirmación es un poco errónea, ya que grandes cantidades de datos de este tipo proporcionan un perfil de cada cliente listo para que los estafadores lo utilicen en posteriores intentos de suplantación de identidad y phishing.

T-Mobile añadió en su comunicado: “No se han puesto en peligro contraseñas, información de tarjetas de pago, números de la seguridad social, números de identificación del gobierno ni otra información de cuentas financieras”.

“Nuestros sistemas y políticas impidieron que se accediera a los tipos más sensibles de información de los clientes y, como resultado, las cuentas y finanzas de los clientes no deberían estar en riesgo directo por este evento. Tampoco hay pruebas de que el malhechor haya violado o puesto en peligro la red o los sistemas de T-Mobile.”

No está claro exactamente qué tipo de fallo de la API explotaron los autores de la amenaza, ni por qué la compañía tardó casi un mes y medio en detectar la brecha.

Info – Ciberseguridad Latam