Telefónica pagará una multa de 1,3 millones de euros por el robo de las claves WiFi de 1,6 millones de routers

Han tenido que pasar tres años para conocer que Telefónica deberá pagar una multa de 1,3 millones de euros por una brecha de seguridad que comprometió los routers de sus clientes. Esta multa llega después de que la Agencia Española de Protección de Datos (AEPD) concluyera una investigación que revelara el robo de las claves WiFi de 1,6 millones de routers. Como era lógico de esperar, no solo se vieron afectado los clientes de su operadora Movistar. También de su filial de bajo coste O2.

La AEPD dio a conocer que este robo de información se realizó por medio del portal para empleados eDomus. Portal que no contaba con "medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo". La solución a este problema fue, directamente, cerrar el portal. Y es que este era accesible desde Internet. Lo que facilitó a los atacantes acceder mediante un script y barriendo números de teléfonos fijos aleatorios. Este ataque se automatizó recopilando millones de datos llamando a la API de la aplicación interna alojada en este portal. Portal utilizado por los trabajadores de Telefónica para atender incidencias técnicas y "consultar la información necesaria para el diagnóstico y tratamiento de averías en los equipamientos de conectividad".

Los usuarios afectadores recibieron un email de Movistar y O2 solicitando cambiar la contraseña WiFi

Lo más interesante de todo esto, es que el primer ataque se produjo un 9 de septiembre. Pero no fue hasta el día 16 del mismo mes, que un empleado avisó a sus superiores de este ataque que estaba "realizando consultas masivas a través de un único usuario muy superiores a lo habitual". Pese al aviso, el ataque continuó hasta el día 20. Que fue cuando volvió un trabajador de vacaciones. Trabajador del que se estaban utilizando sus credenciales para perpetrar el ataque. Tras ello, se avisó al Equipo de respuesta a incidentes de seguridad de Telefónica.

Los datos comprometidos, además de las claves WiFi (y datos de login), involucraron el número de teléfono de la línea fija la configuración de los equipos instalados (router, mesh, decodificador, etc.), como la dirección MAC, firmware del router o configuración de puertos.

Tras darse a conocer lo sucedido, Telefónica, por medio de sus operadoras, avisaron a los usuarios afectados. De esta forma, tanto Movistar como O2 mandaron un correo electrónico y una carta a los usuarios afectados. A estos se les solicitó cambiar la contraseña para acceder a su conexión de Internet por WiFi. En total, se vieron afectadas 1.612.926 de líneas, afectando a poco más de 1,4 millones de personas físicas.

Es por ello que Telefónica tendrá que pagar 1,3 millones de euros como multa

Telefónica culpó al ataque al conocido hacker español Alcasec. Indicando que para acceder a este portal, primero tuvieron que acceder a las credenciales de los usuarios por medio de un ataque de phishing enviando mensajes SMS a "móviles personales de los empleados" de Telefónica. Ahora bien, si Telefónica tuviera la seguridad pertinente, no hubiera sufrido este problema ni hubiera recibido la multa. Multa que hay que reconocer que es barata para lo que implica.

"El ataque fue llevado a cabo por actores avanzados como parte de una operación dirigida y bien diseñada. Los atacantes poseían un conocimiento profundo de las redes y operativas de la organización, obtenido probablemente mediante métodos no informáticos antes del ataque. No se trató de un ataque oportunista".

El Juzgado de Instrucción señala que el ataque a la operadora está vinculado al ocurrido simultáneamente en el Punto Neutro Judicial (red de servicios que de los órganos judiciales). Ambos forman parte de una serie de ataques a entidades como HBO, Glovo, Mediaset, la Policía Nacional, el CGPJ, Bicimad y Burger King. Por estos hechos, en abril de 2023 fue detenido el hacker Alcasec. Considerado una grave amenaza para la Seguridad Nacional y actualmente en espera de juicio.