Un actor de amenazas asegura haberse hecho con 100 GB de datos confidenciales de usuarios pertenecientes a Crunchyroll, la conocida plataforma de streaming de anime propiedad de Sony.
Según los detalles que ha competido el medio Cyber Digest, la brecha de seguridad se inició a través de una estación de trabajo comprometida de un empleado de esta compañía, la cual presta servicios a las operaciones de atención al cliente de Cunchyroll.
El trabajador ejecutó un programa malicioso sin percatarse, dando al atacante acceso al entorno corporativo. Este llevó a cabo movimientos laterales, logrando finalmente entrar en los sistemas internos, incluyendo la infraestructura de atención al cliente y la gestión de incidencias.
El pirata informático pudo campar a sus anchas por las redes del servicio durante 24 horas antes de que estas fueran desconectadas.
A pesar del breve lapso de permanencia, la magnitud de la exfiltración sugiere una operación bien preparada, que probablemente incluyó la recopilación automatizada de datos y técnicas de preparación rápida para maximizar el robo de información antes de su contención.
El incidente coincide con las denuncias relacionadas con una filtración de datos más amplia de Telus Digital, revelada en la misma fecha, en la que los atacantes alegaron haber accedido a múltiples organizaciones que se apoyan en la firma para servicios de atención al cliente, procesamiento de datos mediante inteligencia artificial y moderación de contenido.
Crunchyroll no suelta prenda
Cyber Digest revisó una muestra de los datos robados, encontrando que hay direcciones IP, direcciones de email, información de tarjetas de crédito y datos analíticos de clientes vinculados al comportamiento del usuario.
Con todos estos detalles en su poder los ciberdelincuentes pueden hacer robo de identidad, fraude financiero y campañas de phising altamente dirigidas contra usuarios de Crunchyroll.
En el momento de escribir este artículo el servicio de manga y anime no ha reconocido la brecha ni tampoco ha publicado un comunicado oficial sobre el tema.
Para meterles más presión, el responsable de la amenaza ha afirmado que sus intentos de contactar con la empresa han sido ignorados y que no se ha realizado ninguna notificación formal a los usuarios que puedan verse afectados.
Este año no está siendo nada fácil para Crunchyroll. A principios del mismo la compañía sufrió una demanda colectiva por haber compartido datos de visualización de usuarios con plataformas de marketing de terceros sin el consentimiento adecuado.
