Ransomware Group se atribuye la responsabilidad del hackeo de Christie's
Un grupo de piratas informáticos llamado RansomHub dijo que estaba detrás del ciberataque que afectó al sitio web de Christie's pocos días antes de que comenzaran sus ventas de primavera, lo que obligó a la casa de subastas a recurrir a alternativas a las ofertas en línea.
En una publicación en la web oscura el lunes, el grupo afirmó que había obtenido acceso a información confidencial sobre los coleccionistas de arte más ricos del mundo, publicando solo algunos ejemplos de nombres y cumpleaños. No fue posible verificar de inmediato las afirmaciones de RansomHub, pero varios expertos en ciberseguridad dijeron que se trataba de una operación de ransomware conocida y que la afirmación era plausible. Tampoco estaba claro si los piratas informáticos habían obtenido acceso a información más confidencial, incluidos datos financieros y direcciones de clientes. El grupo dijo que publicaría los datos y publicaría un cronómetro de cuenta atrás que llegaría a cero a finales de mayo.
En Christie's, un portavoz dijo en un comunicado: «Nuestras investigaciones determinaron que hubo acceso no autorizado por parte de un tercero a partes de la red de Christie's». El portavoz, Edward Lewine, dijo que las investigaciones «también determinaron que el grupo detrás del incidente tomó una cantidad limitada de datos personales relacionados con algunos de nuestros clientes». Añadió: «No hay evidencia de que ningún registro financiero o transaccional haya sido comprometido».
Los piratas informáticos dijeron que Christie's no pagó el rescate cuando se lo exigieron.
«Intentamos llegar a una resolución razonable con ellos, pero dejaron de comunicarse a mitad de camino», escribieron los piratas informáticos en su publicación en la web oscura, que fue revisada por un periodista del New York Times. «Está claro que si se publica esta información, incurrirán en fuertes multas en virtud del RGPD, además de arruinar su reputación ante sus clientes».
GDPR, el Reglamento General de Protección de Datos, es una ley de privacidad de la información en la Unión Europea que requiere que las empresas revelen cuándo los ciberataques podrían haber comprometido los datos confidenciales de los clientes. El incumplimiento de la ley incluye posibles multas en empresas que pueden ascender a más de 20 millones de dólares.
Los expertos en ciberseguridad dijeron que RansomHub ha surgido en los últimos meses como un grupo de ransomware especialmente poderoso con posibles conexiones con ALPHV, una red de extorsionadores de habla rusa a la que se culpa de un ciberataque a Change Healthcare a principios de este año. Hackers en ese caso pareció recibir un pago de 22 millones de dólares del propietario de la empresa, UnitedHealth Group, aunque United nunca admitió haber enviado el dinero. En abril, RansomHub listado Change Healthcare fue una de sus víctimas y afirmó tener cuatro terabytes de datos robados.
«Sabemos que Christie's tuvo un incidente y una conocida operación de ransomware ahora se atribuyó la responsabilidad», dijo Brett Callow, analista de amenazas de la empresa de ciberseguridad Emsisoft. «No hay ninguna razón real para dudar de las afirmaciones».
Antes de sus principales rebajas de primavera, Christie's había restado importancia al alcance del ciberataque, que afectó a su sitio web a principios de este mes. Muchos clientes sólo se enteraron del hackeo a través de un reportero del New York Times, y la compañía prefirió describir el hackeo como un «incidente de seguridad tecnológica». La estrategia pareció exitosa y los resultados de la subasta, aunque tibios, mostraron pocos indicios de que, como resultado, los compradores y vendedores fueran más conservadores con sus ofertas.
Pero dentro de la casa de subastas, los empleados dijeron que había pánico y se compartía poca información con el personal de base. Tras el final de la temporada de ventas de primavera, que generó 528 millones de dólares, la empresa recuperó el control de su sitio web.
Lewine dijo que «Christie's está notificando actualmente a los reguladores de privacidad y a las agencias gubernamentales» y «se comunicará en breve con los clientes afectados».
