CrowdStrike, empresa estadounidense especializada en ciberseguridad, confirmó que uno de sus empleados compartió capturas de pantalla de sistemas internos con delincuentes. Este hecho fue revelado tras la filtración de dichas imágenes en Telegram por el grupo de ciberdelincuentes Scattered Lapsus$ Hunters.
La compañía aclaró que sus sistemas no sufrieron ninguna brecha de seguridad como resultado de este incidente y que los datos de sus clientes no se vieron comprometidos. Según un portavoz de la empresa, «Identificamos y despedimos a un empleado sospechoso el mes pasado tras una investigación interna que determinó que había compartido imágenes de la pantalla de su computadora externamente». Además, añadió: «Nuestros sistemas nunca se vieron comprometidos y nuestros clientes permanecieron protegidos en todo momento. Hemos remitido el caso a las autoridades competentes».
CrowdStrike no especificó el grupo de ciberdelincuentes responsable del incidente ni las motivaciones del empleado que compartió las capturas de pantalla. La declaración se realizó como respuesta a preguntas de BleepingComputer sobre las imágenes publicadas recientemente en Telegram por miembros de los grupos ShinyHunters, Scattered Spider y Lapsus$.
ShinyHunters informa sobre intento de pago por información
El grupo extorsionador ShinyHunters informó a BleepingComputer que supuestamente acordaron pagarle a un informante 25.000 dólares para que les diera acceso a la red de CrowdStrike. Los ciberdelincuentes afirmaron haber recibido cookies de autenticación SSO del informante, pero CrowdStrike ya lo detectó y le bloqueó el acceso a la red.
Además, intentaron comprar informes sobre ShinyHunters y Scattered Spider, pero no lograron obtenerlos. Este grupo también se atribuye la responsabilidad de ataques contra clientes de Salesforce, incluyendo empresas como Google, Cisco, Allianz Life, Farmers Insurance, Qantas, Adidas, Workday y varias filiales de LVMH.
Ataques a clientes de Salesforce
Los grupos ahora denominados Scattered Lapsus$ Hunters lanzaron previamente un sitio web de filtración de datos para extorsionar a decenas de empresas afectadas por una oleada masiva de brechas en Salesforce. Estos grupos han estado atacando clientes de Salesforce mediante ataques de phishing por voz desde principios de año.
El grupo también se atribuyó la responsabilidad del ataque a Jaguar Land Rover (JLR), robando datos confidenciales e interrumpiendo significativamente sus operaciones, lo que ocasionó daños por más de 196 millones de libras esterlinas (220 millones de dólares) en el último trimestre.
ShinyHunters y Scattered Spider están migrando a una nueva plataforma de ransomware como servicio llamada ShinySp1d3r, tras haber utilizado previamente cifradores de otros grupos de ransomware, como ALPHV/BlackCat, RansomHub, Qilin y DragonForce.
Este jueves, ShinyHunters reivindicó una nueva oleada de ataques de robo de datos que afectaron instancias de Salesforce pertenecientes a más de 280 empresas. En mensajes publicados en Telegram, indicaron que la lista incluye nombres importantes como LinkedIn, GitLab, Atlassian, Thomson Reuters, Verizon, F5, SonicWall, DocuSign y Malwarebytes.
Los ciberdelincuentes comprometieron las instancias de Salesforce tras vulnerar Gainsight utilizando información confidencial robada en la brecha de seguridad de Salesloft.