En la noche de ayer, Phone House comunicó a sus clientes por correos electrónico, tras muchos días sin pronunciarse oficialmente, que el 11 de abril sufrió un ciberataque. Según la compañía, sus medidas de seguridad no han resultado suficientemente fuertes como para evitar el ataque (que ha tenido consecuencias nefastas para los datos de sus clientes)
Mencionan además otro de los puntos que nos preguntábamos si habían cumplido, la obligatoriedad de comunicar estos ataques y brechas a la Agencia Española de Protección de Datos (AEPD). Afirman que sí lo han hecho, así como haber estado "en contacto desde el primer momento con la Brigada Central de Investigación Tecnológica (BCIT) de la Policía Nacional". Asimismo, cuentan que han denunciado los hechos ante dicho organismo.
Confirman todo lo que hemos visto en los documentos filtrados
La compañía enmarca todo lo sucedido en "los ataques cibernéticos" "que son cada vez más habituales" y "que están afectando a todo pido de entidades". Cuentan que son ataque planificados por redes internacionales con el objetivo de lucrarse, consistiendo en "cifrar y hacer inaccesibles los sistemas de dichas entidades con la intención de impedir completamente su actividad".
Con estas palabras, definen lo que conocemos como Ransomware. En este caso, se ha hablado siempre del grupo Babuk, aunque Phone House no lo menciona en el correo que nos ha llegado.
En este sentido, confirman que no han accedido al chantaje por no ayudar a financiar otros ciberataques a otras compañías. Señalan, además, que la descarga de su información "sería parcial y no afectaría a la totalidad de los datos tratados por Phone House".
Finalmente, repasan los datos potencialmente afectados, que desde Genbeta hemos podido ver en los documentos: nombre, apellidos, dirección postal, correo electrónico, DNI (o equivalente), fecha de nacimiento, género, productos contratados, y si se proporcionó, cuenta bancaria. Sin embargo, afirman que "en ningún momento los datos de tus tarjetas bancarias se han visto comprometidos", ni "se han puesto en riesgo ningún tipo de contraseñas".
La compañía no ha hecho referencia al número de clientes cuyos datos se han filtrado, pese a que según hemos confirmado superan de sobra el millón. Los atacantes siempre han dado cifras como 3 o 13 millones.
Ver 5 comentarios