Sequoia, compañía dedicada a la gestión de nóminas y beneficios sociales y cuyas herramientas usan principalmente las startups, ha anunciado que ha detectado un acceso no autorizado a un archivo de almacenamiento en la nube donde albergaba datos confidenciales y personales de sus clientes.
La firma ha notificado sobre el incidente tanto a sus clientes corporativos como a las personas individuales cuyos datos podrían haberse comprometidos por la filtración, según se hace eco Wired.
Además, ha ofrecido a los afectados tres años de servicios gratuitos de protección de identidad proporcionados por Experian.
Entre la información personal que podrían haber obtenido los ciberdelincuentes hay nombres, direcciones, fechas de nacimiento, género, estado civil, situación laboral, números de seguro social, direcciones de email profesionales, datos de salarios relacionados con los beneficios sociales e identidades de miembros, así como de tarjetas de identificación, resultados de pruebas de COVID-19 y tarjetas de vacunas que se cargaron en el sistema.
“Un tercero no autorizado puede haber accedido a un sistema de almacenamiento en la nube que contenía información personal”, ha explicado Sequoia a sus clientes.
“Tan pronto como la compañía se dio cuenta de la situación, se inició un plan de respuesta y se completaron una serie de acciones inmediatas, incluido trabajar con un abogado externo para iniciar una revisión forense por parte de Dell Secureworks... Esta investigación no ha hallado evidencias de se hayan distribuído esos datos o utilizado para fines maliciosos", añaden.
Es decir, Dell Secureworks no habría detectado malware en sus sistemas, ni tampoco ha localizado un intento de extorsión. Además, tampoco habría encontrado equipos o servidores comprometidos en la infraestructura de Sequoia.
“El acceso no autorizado a la información en un sistema de almacenamiento en la nube ocurrió entre el 22 de septiembre y el 6 de octubre de 2022”, asegura la empresa. "El acceso fue de 'solo lectura' y no hay evidencia de que la parte no autorizada haya cambiado los datos del cliente", insiste.
Aun hay que esperar
Sin embargo, pese a todas estas explicaciones de la víctima es muy probable que en un tiempo prudencial los cibermalos den la cara y publiquen algunos datos en la dark web, mostrando que realmente el ataque fue más 'penetrante' que el que se ha detectado. Es algo común cuando se dan brechas de seguridad de este tipo.
Desde Sequoia no han querido compartir la cuantía de personas o startups afectadas, pese a que desde Wired han insistido preguntando por este aspecto.