El 18 de diciembre, Comcast notificó a sus clientes sobre un «incidente reciente de seguridad de datos» con una de sus compañías de software que expuso su información personal a un tercero. En octubre, alguien obtuvo «acceso no autorizado» a los nombres de usuario y contraseñas hash de los clientes durante un período de cuatro días. Y se pone peor: Comcast dice que «para algunos clientes, también se incluyó otra información, como nombres, información de contacto, últimos cuatro dígitos de los números de seguro social, fechas de nacimiento y/o preguntas y respuestas secretas».
Como informa CBS News, la filtración de datos parece haber afectado básicamente todos suscritos a Xfinity: unos 36 millones de suscriptores de Comcast Xfinity. La compañía informó más de 32 millones de clientes de Internet en un informe de ganancias reciente; Según la notificación de violación de datos que Comcast presentó ante la oficina del fiscal general de Maine el lunes, el ataque de octubre afectó a 35.879.455 personas. Eso es casi 36 millones, «incluidos los residentes», es decir, presumiblemente miembros del hogar de suscriptores de Xfinity. Eso hace que sea difícil determinar exactamente cuántos clientes fueron víctimas de la infracción, pero de todos modos, si eres suscriptor de Xfinity, cambia tu contraseña de inmediato.
Según Comcast, la compañía había determinado que «probablemente se adquirió información» en la infracción el 16 de noviembre, y luego fue necesario hasta el 6 de diciembre para determinar que la información incluía nombres de usuarios, contraseñas hash, etc.
Estoy seguro de que hay una montaña de trámites burocráticos y responsabilidad legal, bla, bla, que hay que sortear antes de informar una infracción que afecta a 36 millones de personas, pero además, Comcast podría haberles dicho a esos 36 millones de personas que cambiaran sus contraseñas y preguntas de seguridad. hace más de un mes. La compañía le ha dado a quien lo hackeó un mes adicional para hacer uso de esa información comprometedora.
El gobierno de EE. UU. ha estado presionando recientemente para que se regule más la ciberseguridad, y una nueva medida de la SEC sobre la gestión de riesgos de ciberseguridad, que entró en vigor el 18 de diciembre, exige que las empresas revelen «cualquier incidente de ciberseguridad que determinen que es importante». [to investors]» dentro de cuatro días hábiles. Si bien la SEC tiene como objetivo principal proteger el mercado de valores aquí, se espera que las reglas también beneficien a cualquier persona afectada por una infracción grave como esta al acelerar el proceso de notificación.
Xfinity ahora solicita a los suscriptores de Internet que restablezcan sus contraseñas. Si se vio afectado, asegúrese también de cambiar su contraseña en cualquier otro servicio para el que haya utilizado la misma contraseña y asegúrese de habilitar la autenticación de dos factores siempre que pueda. También debe cambiar sus preguntas de seguridad y/o habilitar la autenticación de dos factores en cualquier servicio en el que haya utilizado las mismas preguntas de seguridad, ya que podrían usarse para obtener acceso a su cuenta incluso sin la contraseña.