Toyota Financial Services (TFS), una subsidiaria de Toyota Motor Corporation, confirmó que detectó acceso no autorizado en algunos de sus sistemas en Europa y África. El incidente fue reivindicado por el grupo de ransomware Medusa, quien publicó datos robados en la web oscura.
Operaciones globales de TFS
TFS es una entidad global con presencia en el 90% de los mercados donde Toyota vende sus automóviles. La empresa brinda financiamiento automotriz a clientes en todo el mundo.
Amenaza y demanda de rescate
Medusa incluyó a TFS en su sitio web oscura, exigiendo un pago de 8 millones de dólares para eliminar datos supuestamente robados. Los actores amenazaron con filtrar la información si no se cumplía el pago.
Datos publicados por los piratas informáticos
Los atacantes publicaron documentos financieros, hojas de cálculo, facturas de compra, contraseñas en texto claro, acuerdos, escaneos de pasaportes, organigramas internos y más. También proporcionaron un archivo .TXT con la estructura de árbol de archivos de los datos robados.
Idioma y ubicación del ataque
La mayoría de los documentos están en alemán, lo que sugiere que el acceso se logró en sistemas que sirven a las operaciones de Toyota en Europa Central.
Respuesta de Toyota
Toyota Financial Services Europe & Africa identificó actividad no autorizada en los sistemas de un número limitado de sus ubicaciones. Desconectaron ciertos sistemas para investigar la situación y reducir el riesgo, además de trabajar con las autoridades.
Estado de los sistemas afectados
El portavoz de Toyota indicó que el proceso de volver a poner los sistemas en línea ya está en marcha en la mayoría de los países. No se especificó un plazo exacto para la recuperación completa.
Posible relación con Citrix Bleed
El analista de seguridad Kevin Beaumont destacó que la oficina alemana de Toyota tenía un punto final Citrix Gateway expuesto a Internet, no actualizado desde agosto de 2023. Esto podría haberlo dejado vulnerable al problema de seguridad conocido como Citrix Bleed (CVE-2023-4966).
Exploit en otros casos
Hace unos días se confirmó que el grupo ransomware Lockbit utilizaba exploits disponibles públicamente para Citrix Bleed contra empresas como el Banco Industrial y Comercial de China (ICBC), DP World, Allen & Overy y Boeing.
Posible expansión del ataque
Es posible que otros grupos de ransomware hayan comenzado a explotar Citrix Bleed debido a la gran superficie de ataque que se estima cuenta con varios miles de puntos finales expuestos.