T-Mobile ha advertido a millones de sus clientes que un actor de amenazas usó una interfaz de programación de aplicaciones (API) para obtener acceso a algunos de sus datos confidenciales.
En una advertencia publicada en el sitio web de la compañía, T-Mobile trató de minimizar la importancia del incidente, diciendo que se obtuvo «información básica del cliente (casi toda la cual es del tipo ampliamente disponible en bases de datos o directorios de marketing)».
Sin embargo, los datos incluyen nombres de personas, direcciones de facturación, direcciones de correo electrónico, números de teléfono, fechas de nacimiento y números de cuenta, toda información valiosa para el robo de identidad. (se abre en una pestaña nueva) ataques, phishing y ataques de ingeniería social similares.
Millones de víctimas
Las contraseñas, la información de las tarjetas de pago, los números de Seguro Social, los números de identificación del gobierno, así como la información de las cuentas financieras, permanecieron seguras, confirmó la compañía. También dijo que su investigación concluyó que no había evidencia de una brecha en sus redes o sistemas.
Si bien la advertencia no dice cuántas personas se vieron afectadas por la infracción y qué tipos de cuentas se vieron comprometidas, se accedió a los datos de un total de 37 millones de clientes, incluidos clientes prepagos y pospagos.
El ataque tuvo lugar entre el 25 de noviembre de 2022 y el 5 de enero de 2023. Fue el 6 de enero cuando T-Mobile finalmente cortó el acceso de los actores de amenazas.
La compañía denunció el ataque tanto a las fuerzas del orden como a las agencias federales de los Estados Unidos, cuya investigación ahora está en curso, se dijo. T-Mobile también agregó que comenzó a notificar a los clientes que podrían haber tenido sus datos comprometidos.
El historial de violaciones de datos del gigante alemán de las telecomunicaciones está lejos de ser ideal. La empresa ha tenido varios incidentes a lo largo de los años, incluido uno en 2018, uno en 2019 y al menos tres en 2020. En 2021, se descubrió que la empresa pagó cientos de miles de dólares para que sus datos confidenciales no se filtraran a la web. , lo que sucedió de todos modos, y un año después, en 2022, confirmó ser blanco de la banda de extorsión Lapsus$.
Vía: BleepingComputer (se abre en una pestaña nueva)