Los nuevos detalles sobre un hackeo del mes pasado muestran que decenas de miles de usuarios que juegan felizmente en DraftKings pueden haber sufrido el robo de su información personal gracias a la información de la cuenta comprada en el sitio de apuestas deportivas.
En una carta fechada el 16 de diciembre que aparentemente se envió a los usuarios y que fue reportada por primera vez por BleepingEquipola compañía dijo que 67,995 personas tuvieron sus datos personales expuestos a los piratas informáticos en una violación, lo que se suma al impacto financiero que algunas cuentas seleccionadas experimentaron en un ataque de piratería de fuerza bruta el mes pasado.
La compañía escribió que los usuarios podrían haber registrado el nombre, la dirección, el número de teléfono y la dirección de correo electrónico de su cuenta durante el hackeo. Es posible que los piratas informáticos también hayan tenido acceso a la foto de perfil, el saldo y los últimos cuatro dígitos de la tarjeta de pago de los usuarios. La compañía dijo que el número completo de la tarjeta, así como el código CVV y la fecha de vencimiento no se almacenan en la página principal de la cuenta.
en un correo electronico declaración a Gizmodo, el portavoz de la compañía, James Chrisholm, dijo que la compañía «pproporcionó un aviso formal de los ataques de Credential Stuffing a ciertos clientes en las jurisdicciones en las que se requiere hacerlo”. El portavoz agregó que DraftKings ha restituido las cantidades perdidas a todos los usuarios afectados. la empresa también reiteró que han recibido «ninguna evidencia» de que los inicios de sesión de los usuarios provengan de DraftKings.
El mes pasado, los usuarios ventilaron sus frustraciones con la compañía después de ver que sus cuentas eran despojadas de fondos mientras se les bloqueaba el acceso a sus cuentas, según informes desde el momento. Mientras tanto, los piratas informáticos en Twitter aparentemente se regodeaban de su robo mientras los usuarios intentaban obtener respuestas de los canales de soporte de DraftKings.
Esa brecha inicial en noviembre vio menos de $ 300,000 drenados de las cuentas de los usuarios, según la compañía. El cofundador de DraftKings, Pauler Liberman, dijo anteriormente en un comunicado que estaban recuperando a los clientes afectados. La compañía también dijo que había restablecido las contraseñas de los usuarios afectados.
BleepingComputer informó que una persona o personas desconocidas que llevaron a cabo la violación habían estado vendiendo las cuentas con notas en sus saldos de depósito por $ 10 a $ 35 cada una. Como señaló BleepingComputer, las cuentas pirateadas primero experimentaron un depósito de $ 5 que permitió un cambio de contraseña y una forma de configurar la autenticación de dos factores en un nuevo número de teléfono para cobrar la cuenta. Una captura de pantalla de las instrucciones para piratear las cuentas de DraftKings enumera el «Paso 5» como «¡Disfruta de tu dinero!»
DraftKings etiquetó este truco como un «ataque de navegación de credenciales» que fue causado por nombres de usuario y contraseñas obtenidos de una «fuente de terceros». La compañía dio a entender que el ataque se debió a que los usuarios aplicaron su mismo nombre de usuario y contraseña en diferentes sitios web, que luego se usaron para acceder a las cuentas de los usuarios.
En este tipo de hacks de fuerza bruta, los actores maliciosos usan herramientas de spam para hacer millones de intentos de inicio de sesión a la vez usando contraseñas encontradas a través de fuentes externas.
Como lo señaló CNBC En noviembre, la aplicación rival de apuestas deportivas FanDuel también notó un mayor número de intentos de piratería en sus sistemas.