Live Nation confirmó que la plataforma Ticketmaster sufrió una violación de datos tras el robo de información almacenada en un proveedor externo de bases de datos en la nube, cuya identidad se cree que es Snowflake. La empresa detalló que los datos fueron robados y puestos a la venta en la web oscura.
Según Live Nation, el 20 de mayo de 2024 se detectó actividad no autorizada dentro del entorno de una base de datos en la nube de terceros. La compañía inició una investigación con investigadores forenses para comprender lo ocurrido. El 27 de mayo, un actor de amenazas ofreció a la venta lo que supuestamente eran datos de usuarios de Ticketmaster.
Los datos robados incluyen información sobre más de 560 millones de clientes, como nombres, direcciones, correos electrónicos y números de teléfono. También se encontró información relacionada con ventas de entradas, pedidos y eventos. La compañía afirma que no cree que la violación tenga un impacto material en sus operaciones o situación financiera.
Según informes, las bases de datos robadas contienen 1,3 TB de información, incluyendo detalles completos de los clientes y registros sobre ventas. Además, se reporta que otras empresas que utilizan Snowflake también sufrieron filtraciones de datos en mayo.
Snowflake atribuye la violación a cuentas mal protegidas
Snowflake indicó que las violaciones recientes fueron causadas por cuentas de clientes mal protegidas, cuyas credenciales fueron robadas y no tenían habilitada la autenticación multifactor. La empresa compartió los Indicadores de Compromiso (IOC) para ayudar a sus clientes a identificar si sufrieron una violación.
Un actor de amenazas, conocido como Shiny Hunters, afirmó haber robado datos de Ticketmaster y Santander. Según el actor, los datos se obtuvieron mediante credenciales robadas usando malware para acceder a la cuenta ServiceNow de un empleado de Snowflake.
Caso Banco Santander
Según datos de Cronup, un empleado de Snowflake fue infectado por el Infostealer Lumma. Las credenciales sensibles del empleado, incluyendo detalles de inicio de sesión en servidores específicos de Snowflake, fueron comprometidas.
Lumma es un MaaS que apareció en agosto de 2022 y está disponible para la venta en foros clandestinos. La filial chilena de Banco Santander reportó el incidente, indicando que tuvo origen en España y afectó a una base de datos alojada en un proveedor externo.
Los datos puestos a la venta incluyen 30 millones de datos de clientes, 64 millones de datos de cuentas y saldos, 28 millones de tarjetas de crédito y listas de empleados de Recursos Humanos. El precio se fijó en 30 bitcoins, aproximadamente 2 millones de dólares estadounidenses.
Caso Ticketmaster
La venta de información de Ticketmaster se puso a la venta inicialmente el 26 de mayo. Según el actor de amenaza, el volumen de los datos ascendía a 1,3 TB de información.
La información extraída contenía: 560 millones de datos usuarios con nombre, dirección, email y teléfono; información de tickets, eventos y ordenes de compra; y datos de tarjetas de crédito y otros.