La empresa japonesa Tenga, conocida por sus juguetes sexuales y complementos para adultos, como sus huevos masturbadores, ha reconocido haber experimentado una brecha de datos.
Según dicha comunicación, un actor de amenazas accedió a la cuenta de correo profesional de uno de los empleados. A través de su bandeja de entrada el pirata informático pudo ver y hacerse con nombres de clientes, direcciones de correo electrónico e historiales de correspondencia, que podrían incluir detalles de pedidos o consultas de servicio al cliente. Es decir, el hacker podría tener en sus manos información bastante íntima de muchas personas.
El pirata informático también usó la cuenta comprometida para el envío de emails de spam a contactos de la bandeja de entrada, incluyendo clientes.
La firma no ha detallado cuántos clientes estarían afectados por la filtración ni si la misma se extendió fuera de EE.UU. No obstante, Tenga ha enviado más de 162 millones de productos a todo el mundo, por lo que la repercusión podría ser alta.
El fabricante ha restablecido las credenciales afectadas y ha activado la autenticación multifactor en sus sistemas tras el incidente.
Tenga recomienda a los clientes afectados que cambien sus contraseñas y estén atentos a los emails sospechosos que puedan recibir, sobre todo a aquellos que parezcan provenir del empleado comprometido, con el fin de reducir el riesgo de ataques de phising o ingeniería social.
Tenga esto en cuenta
La brecha de seguridad expone a los clientes afectados a diversos riesgos. Esto puede dar lugar a phishing dirigido, ingeniería social y estafas que explotan información confidencial de compras.
Incluso sin haberse filtrado datos financieros directos, la exposición plantea problemas de privacidad, daño a la reputación y la posible reventa de direcciones de correo electrónico en foros clandestinos, según recuerdan en Security Affairs.
Por ahora se desconoce si detrás del ciberataque hay algún grupo de ciberdelincuentes conocido y si hubo ransomware. Tampoco está claro si los cibermalos pidieron rescate y a cuánto habría ascendido este.
Tenga no ha sido la última empresa dedicada a este ramo que ha sufrido un incidente de ciberseguridad. El año pasado el también fabricante de masturbadores Lovense fue pirateado y el sitio web para adultos Pornhub también corrió la misma suerte.
***Actualización 19/02***
La compañía ha confirmado a este medio que el incidente de seguridad detectado el 12 de febrero afectó exclusivamente a la cuenta de correo electrónico de un único empleado de Tenga USA. Según el comunicado que hemos recibido, el impacto se limita a un segmento reducido de clientes en EE.UU que interactuaron con el canal de atención al cliente, sin que se hayan visto comprometidos los sistemas globales ni las bases de datos fuera del país norteamericano.
La información expuesta se restringe a direcciones de correo electrónico y al historial de correspondencia, sin acceso a datos especialmente sensibles como números de la Seguridad Social, información bancaria, tarjetas de crédito o contraseñas de las tiendas online de la compañía. Asimismo, Tenga subraya que no existe riesgo para los dispositivos de los usuarios siempre que los archivos adjuntos sospechosos del spam no se abrieran durante la breve ventana temporal del ataque (de una hora).
«Nuestros sistemas de correo electrónico y comercio electrónico se gestionan mediante una estricta segregación de datos. Nuestras plataformas de e-commerce están además protegidas por Autenticación Multifactor (MFA) y una rigurosa gestión de usuarios para asegurar que los datos de los clientes solo sean accesibles para el personal esencial. Asimismo, tanto la información sensible, como los datos de pago y las contraseñas, se cifran y se almacenan en formato hash por defecto, lo que las hace inaccesibles incluso para los empleados de TENGA», explican.
Como medida preventiva, la empresa ha contactado de forma proactiva con los posibles afectados. Además, ha anunciado un refuerzo adicional de sus protocolos de seguridad y ha recomendado a los clientes actualizar sus contraseñas y vigilar cualquier actividad inusual en sus cuentas.
Deja una respuesta