Grupo de beneficios dentales notifica a casi 7 millones de estadounidenses sobre el robo de datos de MOVEit

Un proveedor de beneficios dentales está notificando a casi 7 millones de residentes de EE. UU. que su información personal fue robada en uno de los mayores ataques individuales que involucran a la aplicación de transferencia de archivos MOVEit.

Delta Dental de California y sus afiliados, que brindan beneficios dentales a individuos a través de grupos comerciales, dijo que el atacante copió los nombres de los suscriptores, el número de cuenta financiera de Delta o sus números de tarjetas de crédito/débito, junto con códigos de acceso de seguridad, contraseñas o números PIN de las cuentas. En algunos casos también se copiaron los números de pasaporte.

Según números rastreados por Emsisoft, este es el tercer robo de datos más grande confirmado públicamente por parte de una empresa individual hasta el momento. El más grande es Maximus Inc., un proveedor de servicios del gobierno de EE. UU., que dijo que se robó información sobre 11,3 millones de personas de su sistema MOVEit Transfer.

La banda de ransomware Clop/Cl0p se ha atribuido el mérito de descubrir y explotar una vulnerabilidad de día cero que le permite eludir la autenticación multifactor tanto en las versiones locales como en la nube de la aplicación MOVEit de Progress Software.

La vulnerabilidad, CVE-2023-34362se le ha asignado una calificación de gravedad de 9,8 sobre 10.

Las organizaciones con sede en Estados Unidos representan el 78,4 por ciento de las víctimas conocidas, dice Emsisoft, las con sede en Canadá el 13,8 por ciento y las con sede en Alemania el 1,4 por ciento. Los sectores más afectados son la educación (40,0 por ciento), la salud (19,6 por ciento) y las finanzas y los servicios profesionales (12,7 por ciento).

Según investigadores de Kroll LLC, la técnica de compromiso más común implicaba un shell web eliminado para inyectar una sesión o crear una cuenta maliciosa. A partir de ahí, los actores de amenazas pudieron volver a autenticarse y utilizar la propia aplicación MOVEit para transferir archivos.

Sin embargo, en algunos casos, el atacante pasó tres variables al shell web: el ID de la organización, el ID de la carpeta y el nombre del archivo. A partir de ahí, el shell web utilizó llamadas API de MOVEit para la enumeración de archivos y la filtración de datos. Se utilizó un script Python para extraer datos durante la ola inicial de ataques coordinados y en gran medida automatizados en los servidores MOVEit.

Análisis forense de Kroll también ha visto actividad lo que sugiere que la pandilla Clop probablemente estaba experimentando formas de explotar esta vulnerabilidad particular ya en 2021.