La empresa educativa Pearson, con sede en el Reino Unido y uno de los principales proveedores mundiales de publicaciones académicas, herramientas de aprendizaje digital y evaluaciones estandarizadas, confirmó haber sufrido un ciberataque que permitió a los cibercriminales robar datos corporativos e información de sus clientes.
Confirmación del incidente
Pearson informó sobre el acceso no autorizado a una parte de sus sistemas, lo cual fue identificado y detenido. La empresa destacó que se tomaron medidas para investigar qué datos se vieron afectados con expertos forenses y apoyar la investigación de las fuerzas del orden. Además, se implementaron mejoras en la monitorización y autenticación de seguridad.
Según el comunicado, los datos robados no incluían información de empleados. Sin embargo, Pearson no proporcionó detalles sobre cuántos clientes se vieron afectados ni si se les notificaría.
Vulnerabilidad en entorno de desarrollo
El incidente surge después de que se informara que los atacantes comprometieron el entorno de desarrollo de Pearson en enero de 2025 a través de un token de acceso personal de GitLab expuesto, encontrado en un archivo público .git/config.
Este archivo de configuración local se utiliza en proyectos de Git para almacenar ajustes como el nombre del proyecto y la dirección de correo electrónico. Si este archivo se expone por error y contiene tokens de acceso incrustados en URL remotas, puede otorgar a los atacantes acceso no autorizado a repositorios internos.
En el caso de Pearson, el token expuesto permitió a los cibercriminales acceder al código fuente de la empresa, que contenía credenciales y tokens de autenticación para plataformas en la nube, harcodeados.
Acceso a infraestructura en la nube
Durante los meses siguientes, el cibercriminal utilizó estas credenciales para robar terabytes de datos de la red interna y la infraestructura en la nube de la empresa, incluyendo AWS, Google Cloud y varios servicios de bases de datos en la nube como Snowflake y Salesforce CRM.
Los datos robados supuestamente contienen información de clientes, datos financieros, tickets de soporte y código fuente, con millones de personas afectadas. Sin embargo, Pearson no respondió a preguntas específicas sobre si habían pagado un rescate o qué entendían por «datos heredados».
Relación con incidente previo
Pearson reveló previamente en enero que estaba investigando una vulneración de seguridad en una de sus subsidiarias, PDRI, que se cree está relacionada con este ataque.
El análisis de archivos de configuración de Git y credenciales expuestas se ha convertido en un método común para que los cibercriminales vulneren los servicios en la nube. Este patrón fue observado previamente en el caso del Internet Archive, donde una vulneración de seguridad ocurrió tras la exposición de un archivo de configuración de Git que contenía un token de autenticación para repositorios de GitLab.