¿Has comprado un dispositivo de Steam y estás esperando la entrega? El hackeo a CEVA Logistics podría afectarte.

Un ataque contra una compañía logística se convirtió en problemas para numerosas grandes empresas y sus clientes en toda Europa. Tras el compromiso de CEVA Logistics por parte de los atacantes, datos personales de compradores quedaron en sus manos, y algunas tiendas empezaron a sufrir retrasos y cancelaciones de pedidos. Entre los afectados están clientes de Valve, Bol, De Bijenkorf, el banco ING, el club de fútbol Ajax y otras organizaciones.

CEVA Logistics está entre las mayores empresas logísticas del mundo y gestiona más de mil almacenes. El ataque empezó el 29 de julio y afectó a ocho almacenes en Europa. El 1 de agosto CEVA avisó a sus clientes sobre el incidente. La compañía afirma que el resto de sistemas en todo el mundo siguieron funcionando y que las consecuencias se limitaron a parte del negocio de logística contractual en Europa.

La magnitud del problema se hizo evidente unos días después, cuando clientes de CEVA empezaron a informar sobre filtraciones. La tienda online neerlandesa Bol confirmó que personas no autorizadas obtuvieron acceso a los sistemas del socio logístico. En ellos se almacenaban nombres de compradores, direcciones domésticas y de correo electrónico, códigos postales, números de teléfono e información sobre los pedidos. Según la información disponible, los datos de pago, las contraseñas y las credenciales de acceso no se vieron afectados.

La cadena de grandes almacenes De Bijenkorf emitió una advertencia similar. En el conjunto potencialmente expuesto se incluyeron datos de contacto, información sobre los artículos comprados, precios, descuentos, entrega y método de pago. Para clientes corporativos, la lista puede incluir el nombre de la empresa y el número fiscal. En los sistemas afectados no se almacenaban números de cuentas bancarias, datos de tarjetas, nombres de usuario ni contraseñas.

El incidente afectó no solo a tiendas. También informaron que se comprometieron datos de clientes el banco neerlandés ING, el club de fútbol Ajax y el fabricante de gafas Ace & Tate. La Autoridad de Protección de Datos de los Países Bajos recibió, hasta el 10 de agosto, notificaciones de filtración de diez organizaciones vinculadas al incidente en CEVA. No se ha revelado aún el número exacto de personas cuyos datos podrían haber sido obtenidos por los atacantes.

Un grupo separado de afectados fueron los compradores europeos de dispositivos de Valve. CEVA realiza las entregas del hardware de Steam en Europa, por lo que recibe la información necesaria para el envío de los clientes. Valve supo que los datos podrían haberse visto comprometidos el 7 de agosto y empezó a avisar a los compradores. CEVA conserva los datos de envío hasta 90 días después del pedido, por lo que reciben notificaciones los clientes cuyas compras estén dentro de ese periodo.

A los compradores de dispositivos Steam podrían haberse expuesto nombre, dirección, código postal, ciudad y país de residencia, número de teléfono, el correo electrónico vinculado a la cuenta de Steam, así como el tipo y el precio del dispositivo pedido. Las contraseñas de Steam, los códigos de Steam Guard y los datos de pago no se vieron afectados, ya que CEVA no tiene acceso a ese tipo de información. Por ello Valve no exige cambiar la contraseña ni la configuración de la cuenta.

La principal amenaza para los afectados ahora es el phishing. La información robada permite a los delincuentes elaborar correos y mensajes de entrega convincentes, nombrar la dirección real del destinatario, detalles del pedido y solicitar el pago de una pequeña tasa o el reenvío. Valve aconseja considerar esos contactos como fraudulentos y recuerda que el soporte de Steam no solicita la contraseña ni el código de Steam Guard.

El ataque también afectó el funcionamiento habitual de las tiendas. Bol retiró temporalmente de la venta los artículos que se encontraban en el almacén afectado; parte de los pedidos fueron cancelados o retrasados. De Bijenkorf advirtió que ahora tardarán más en procesar pedidos, devoluciones y pagos. CEVA aisló los sistemas afectados y contrató especialistas externos; no obstante, la investigación continúa y el alcance total de la información robada aún no se ha establecido.