A lo largo de este año se han notificado a la AEPD 847 brechas de datos.
No hay duda de que 2020 está siendo un año anómalo en muchos sentidos. En el ámbito de la ciberseguridad, quizás no tanto. Sí, a lo largo de los últimos meses hemos sido testigos de una gran cantidad de amenazas de seguridad, ciberataques y brechas de datos que han afectado a empresas, instituciones y usuarios. Pero esto no era algo imprevisible, más bien todo lo contrario. Si bien es cierto que los cibercriminales, como hacen siempre, se han adaptado a las “circunstancias”, modificando los cebos de sus ataques a la situación en la que nos encontramos en cada momento.
El resultado están siendo innumerables intentos de ciberataques y brechas de datos que se producen diariamente. Algunos incidentes y brechas de seguridad salen a la luz, otros no, pero ciertamente el número de estos se va incrementando cada año.
A principios de 2019, por ejemplo, se conocía la que es hasta la fecha (por ahora) la mayor brecha de datos conocida, la denominada “Collection”.
Ataques de ransomware, bases de datos y sistemas vulnerables o fraudes a usuarios que derivaron en accesos no autorizados han sido algunos de los principales vectores de ataque de los últimos años. Vectores que no han cambiado mucho en 2020.
En cuanto a brechas de datos, durante 2019 se notificaron de forma oficial tan solo en España (a través de la Agencia Española de Protección de Datos, AEPD) 1460 brechas de datos.
En lo que va de 2020, se han notificado a través de esta vía 847 brechas de seguridad que han afectado a datos personales, 201 notificaciones más que en el mismo periodo de 2019.
Notificaciones de brechas de seguridad (AEPD)
| Mes | Notificaciones de brechas de seguridad | Notificaciones debidas a malware |
| Enero 2020 | 166 | 70 |
| Febrero 2020 | 177 | 61 |
| Marzo 2020 | 93 | 41 |
| Abril 2020 | 99 | 37 |
| Mayo 2020 | 90 | 27 |
| Junio 2020 | 87 | 19 |
| Julio 2020 | 135 | 24 |
Principales ciberataques, brechas de datos y seguridad de 2020
Hacemos un repaso a continuación de los mayores ciberataques, brechas de seguridad y de datos a nivel global más notorios de lo que llevamos de este atípico año.
El robo de datos, ransomware y posterior chantaje económico (y reputacional) están siendo por ahora algunas de las principales armas de los cibercriminales.
Tesla
Esta es una historia que pudo tener un desenlace fatal pero que afortunadamente se resolvió sin incidencias. En agosto de 2020, el medio Teslarati publica que un empleado de Tesla había recibido una oferta de un grupo cibercriminal para introducir un malware en su fábrica de Nevada. El propio Elon Musk respondió en Twitter que era “un ataque serio”. El ataque se frustró gracias a la negativa del empleado, quien lo puso en conocimiento con Tesla y esta a su vez con el FBI.
Bolsa de Nueva Zelanda
A finales de agosto, la Bolsa de Valores de Nueva Zelanda ha quedado fuera de juego durante varios días consecutivos debido a un ciberataque. En concreto, un ataque de denegación de servicio distribuido (DDoS) que cumplió su objetivo: tumbar sus sistemas.
Mapfre
El 15 de agosto la aseguradora Mapfre sufría un ataque de ransomware que afectaba a su actividad, impactando en “algunos de nuestros sistemas informáticos y ralentizado nuestra capacidad de respuesta”, según explicaba su CEO en Iberia, José Manuel Inchausti. El ejecutivo ha actualizado la situación periódicamente a través de sus redes sociales. Una de sus últimas actualizaciones apuntaba al casi total restablecimiento de sus sistemas tras el ataque.
Adif
A finales de julio de 2020, Adif, sufría un chantaje por parte de ciberdelincuentes. El grupo cibercriminal REvil estaba detrás del robo de 800 GB de datos pertenecientes a la empresa pública española. Si no se cumplían sus exigencias, serían publicados.
REvil es conocido por usar el ransomware denominado “Sodinokibi”, y están detrás de otros crímenes online como el ataque al bufete de abogados especializado en personalidades y famosos estadounidenses, Grubman Shire Meiselas & Sacks. El ciberataque fue confirmado por Adif quien dijo que no se habían visto afectadas la infraestructura ni servicios.
Honda y Enel
A mediados de junio, el fabricante de automóviles y una división de la eléctrica Enel fueron dos de las últimas víctimas del ransomware SNAKE, que ya afectó a otras grandes compañías este mismo año, como el grupo Fresenius.
EasyJet
EasyJet sufrió un ciberataque a mediados de mayo que dejó expuestos datos de 9 millones de clientes. Como explicábamos aquí, es reseñable que los ciberdelincuentes estuvieron dentro de sus sistemas más de 4 meses.
Grubman Shire Meiselas & Sacks
El nombre de este bufete de abogados no le sonará a muchos, pero las personas a quienes representan probablemente sí. Robert de Niro, Lady Gaga o Elton John son algunos de los clientes de este despacho que fue víctima de un ciberataque a principios de mayo en los que accedieron a información sensible, y se apunta que también un ataque de tipo ransomware, probablemente REvil o Sodinokibi, los cuales han estado haciendo estragos a lo largo de los últimos meses.
Los ciberdelincuentes solicitaron un rescate de 21 millones de euros para no desvelar alguno de los 756 gigabytes de datos personales robados de sus clientes.
Fresenius (Quirón)
A principios de mayo (y en plena pandemia de COVID-19) el mayor propietario de hospitales privados de Europa, dueño de los centros de Quirónsalud fue víctima de un ciberataque. El CCN-CERT publicó más adelante un informe acerca del ransomware que afectó a sus sistemas, conocido como SNAKE o EKANS.
EPD
La crisis del Coronavirus no solo ha provocado un aumento en el número de ciberataques, sino también en ocasiones el modus operandi de estos. La compañía de energía de Portugal, EDP, fue víctima a principios de abril de un ataque de ransomware combinado. Los ciberdelincuentes robaron más de 10 terabytes de datos confidenciales de la compañía, además de cifrar los equipos mediante un ransomware denominado “Ragnar Locker”. Como rescate para recuperar la información y no publicar los datos robados, solicitaban 10 millones de euros.
Por
31 agosto, 2020
