Casos de Filtración de Datos: Lecciones de Uber y Marriott

Curso de Tecnología para Gerentes y Directores

Contenido del curso

Software at the core

El ciclo del desarrollo de tecnología empresarial

Seguridad informática

Infraestructura avanzada de software en empresas

Recursos Humanos y Gestión de Talento

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:005:30

Casos de Filtración de Datos: Lecciones de Uber y Marriott

Curso de Tecnología para Gerentes y Directores

Clase 18 de 42

Clase 18 / 42

Comentarios (674)674 comentarios

Rafael Sánchez Melo

Hace 6 años

Boroshilov Altamirano

Hace 6 años

Carlos Morales

Hace 6 años

Alejandro Ibague

Hace 6 años

Alejandro Picado Brenes

Hace 6 años

Felipe Bernardo González Barranco

Hace 6 años

Jorge Alejandro Falcon Alvarez

Profesor

Hace 6 años

Manuel Avalos Avendaño

Hace 4 años

Esteban Hoyos Jaramillo

Hace 6 años

Carlos Morales

Hace 6 años

Carlos Alvarez

Hace 6 años

Usuario anónimo

User

Hace 6 años

Francisco Javier Pérez Villeda

Hace 5 años

Andrés Soret Chacin

Hace 4 años

Julian Felipe Porras

Hace 6 años

Usuario anónimo

User

Edwin Morales

Carlos Alvarez

Angelo Molina

Luis Eduardo Navarro

Julio Rafel Escolar Rambal

Hace 6 años

David Jaramillo Saldarriaga

Hace 6 años

Sebastian Valencia Zapata

Hace 6 años

Luis Francisco Montero

Hace 5 años

hshsthsstd gsrrgsdgr

Hace 5 años

Luis Francisco Montero

Hace 5 años

luis eduardo

Hace 6 años

Miguel De la Cruz Carranza

Hace 5 años

Rubén David Pérez Cantillo

Hace 6 años

Diego Perdomo

Hace 6 años

Carlos Andrés Pinilla Castillo

Christian Bermeo

Jorge Calvo

Mateo Clavijo

Gary Torres Martínez

Diego Perdomo

Recursos

¿Qué ocurrió en los casos de filtraciones masivas de Uber y Marriott?

En un mundo cada vez más interconectado, las filtraciones de datos pueden tener consecuencias devastadoras tanto para las empresas como para los usuarios. Este es el caso de las filtraciones masivas de Uber y Marriott, incidentes que afectaron a millones de personas en todo el mundo. Analicemos cómo ocurrieron estas brechas, sus implicaciones y qué podemos aprender de ellas.

¿Cómo se filtraron los datos de Uber?

En octubre de 2016, Uber sufrió una de las mayores filtraciones de datos de su historia, afectando a 57 millones de clientes y conductores. Esta brecha incluyó información crítica, como rutas de clientes, pagos semanales de conductores, números de licencia y matrículas de automóviles.

Método de ataque: Los hackers lograron acceder a las credenciales de GitHub de algunos programadores internos de Uber. GitHub, una plataforma online muy popular entre programadores, permitió a los atacantes obtener acceso no autorizado.
Errores humanos críticos: Es común que los programadores incluyan credenciales en el código. Este descuido permitió a los hackers acceder a las bases de datos alojadas en Amazon Web Services (AWS), donde se almacenaba la información robada.
Consecuencias: Los atacantes enviaron un email extorsionando al Chief Security Officer de Uber, amenazando con publicar los datos si no recibían un pago.

Esta filtración generó indignación y la intervención de varias entidades gubernamentales y leyes de protección de datos, como la GDPR en Europa.

¿Cuál fue el impacto del caso Marriott?

En noviembre de 2018, se anunció otra brecha masiva que afectó a Marriott, comprometiendo los datos personales de 500 millones de huéspedes. Este incidente es uno de los más grandes de la era digital.

Detección del problema: Marriott descubrió el fallo en septiembre de 2018 mediante Penetration Testing, una técnica de prueba de seguridad interna. No obstante, el parcheo pudo haber sucedido mucho antes ya que el problema persistía desde 2014.
A la vista durante años: Los atacantes lograron acceder a información sensible, como contraseñas. Para ocultar sus acciones, cifraron y borraron datos antiguos, dificultando la detección temprana del ataque.
Medidas de auditoría: Marriott contrató a un auditor externo para investigar el incidente, revelando que los hackers tuvieron acceso durante cuatro años sin ser detectados.

Estas filtraciones evidencian la importancia de la ciberseguridad y los riesgos asociados a la falta de mantenimiento y actualizaciones de seguridad en grandes organizaciones.

¿Qué podemos aprender de estos incidentes?

La protección de datos personales se ha convertido en una prioridad crítica ante el creciente número de usuarios digitales. De estos casos podemos extraer varias lecciones valiosas:

Seguridad de contraseñas: La correcta gestión de credenciales y el uso de contraseñas seguras es fundamental para proteger datos sensibles.
Auditorías frecuentes: Implementar auditorías de seguridad regulares puede ayudar a identificar vulnerabilidades antes de que sean aprovechadas.
Educación y formación en seguridad: Capacitar a los empleados para manejar información de manera segura ayuda a mitigar riesgos potenciales.
Transparencia y respuesta oportuna: En caso de una filtración, es crucial actuar con rapidez y transparencia para minimizar daños y restaurar la confianza de los usuarios.

Enfrentar estos desafíos es una tarea constante y vital en el ámbito empresarial. Al aprender de los casos de Uber y Marriott, podemos estar mejor preparados para proteger tanto la privacidad como la seguridad de la información en el futuro. A medida que avanzan las tecnologías, es vital adaptarse y fortalecer nuestras defensas frente a ataques cibernéticos en evolución.

Si yo fuera el CEO o Dir. de Seguridad:

Escuchar la demanda que hace el atacante y corroborar que si es real el ataque.

Paralelamente, Iniciar el plan de contingencia sobre ataque Cibernético previamente establecido. Activando los protocolos de seguridad internos.
Incorporar mi equipo de contingencia y buscan soluciones, alternativas y el impacto del ataque.
En caso de encuentra la vulnerabilidad en ese momento, se soluciona inmediatamente y se refuerzan las políticas y protocolos de seguridad.
En caso de No encontrar la solución interna, se procede a reportar a las autoridades competentes (policía).
Luego se estudia el impacto del ataque, para decidir en alguna de las siguientes alternativas usando el Seguro Cibernético previamente obtenido.

Pagar al atacante y confiar que de vuelva lo robado
No pagar al atacante y absorber los gasto que incurra la exhibición de los datos
No pagar al atacante y absorber los gasto que incurra las demandas de los usuarios y la multa de la autoridad.

El resultado del estudio es, tomar la alternativa 3 como la mejor haciendo valer el Seguro
Y en lo legal se incorpora una demanda al reporte de la policía contra el atacante, para dar seguimiento y dejar constancia de lo sucedido al Seguro Cibernético.
Después del ataque y de forma inmediata, se debe documentar lo sucedido y realizar inmediatamente las actualizaciones de las políticas y protocolos de seguridad.
Se concluye con un aviso a los clientes de lo sucedido y explicando la solución que se tomó.

Concuerdo con todo lo expuesto , sin embargo creo que adicional a esto se debería generar un protocolo que permita testear las seguridades del sistema en un futuro y de forma iterativa , con la finalidad de reducir al mínimo el riesgo de tener otro ataque en lo posterior.

Gran e interesante análisis!!

Para ser muy practico... Si ya nos robaron, ya que.

Tapar los huecos de seguridad con el equipo de ingenieria.
Ser mucho mas riguroso con los temas de seguridad y programar mas simuladores de ataques o cosas por el estilo mucho mas a menudo.
Hacer publico este hecho y disculparse con los usuarios, como recomendandoles que deben cambiar contraseñas, etc...
Ofrecer a los usuarios afectados, o si no se sabe en concreto quienes fueron, A TODOS LOS USUARIOS, bonos de descuento y beneficios gratis por un tiempo para aliviar la imagen de la marca.

Hola, coincido en que se debe proteger la imagen de la compañia, es mejor pedir perdón a los clientes y buscar alternativas para recompensarlos que hacerse el loco como si nada hubiera pasado, al fin y al cabo en el peor de los casos podría mantenerse una base de clientes mientras se busca mejorar para tratar de volver a levantar la imagen y recuperar clientes.

Estoy de acuerdo con tu opinión

Considero que la acción más prudente era, notificar al CEO y superiores. Avisar a las autoridades. Intentar negociar con el "estafador" para ganar tiempo en lo qué se realiza la investigación. Cruzar los dedos. Esperar resultados y realizar un Post Mortem para optimizar, corregir y evitar que esto vuelva a pasar, si no me dan cuello jaja.

eso de cruzar los dedos me gusto :)

No sé si ustedes se han visto el capítulo ´Shut up and dance´, de Black Mirror. Una impresión que me dejó la historia es que si intentas negociar con el autor de un ataque cibernético, él puede extorsionarte, conseguir lo que quiere y no cumplir su parte. ¿Así funciona? ¿Respetan su palabra? Yo no soy ingeniero ni vengo del mundo de la tecnología.

Tienes mucha razón, bajo esta perspectiva lo mejor sería no ceder ante las demandas de los hackers y afrontar las consecuencias desde el principio.

Totalmente, pagar a un hacker es la forma más fácil de botar dinero, y adicionalmente te hace ser un objetivo de nuevo, ya que ellos saben que pagas, entonces te van a querer hackear una y otra vez.

💡 Decisiones que tomaría como Director de Seguridad.

Caso Uber:

Hacer una contingencia de seguridad de datos.
Cambiar el acceso a AWS y GitHub.
Comunicación interna con clientes afectados.

Caso Marriott:

Tapar el hueco de seguridad.
Hacer una auditoria del sistema.
Comunicación interna con clientes afectados.

Con cuerdo con tomar estas medidas, permitirá mitigar el daño causado.

Estoy completamente de acuerdo contigo compañero 😁👌

Reportar inmediatamente al CEO y como tal a la policía o entidades encargadas de realizar estas supervisiones, lo peor en estas situaciones es no comunicar y dejar que el problema se agrande cada vez mas

Debo admitir que con la invitación de Freddy a escribir no se me ocurrió nada más que denunciar y establecer un plan de corrección para mitigar lo más posy prevención.

Luego de leer todos los comentarios, agradezco su ayuda para descubrir que hay muchas alternativas. En consecuencia, antes de decidir, convocaría al equipo experto internamente y pediría apoyo a las autoridades de ciberdelitos en el país para diagnósticar, corregir técnica, operativa y jurídicamente la situación y trabajaría en una estrategia de comunicación con los grupos de interés para generar pedagogía y confianza que ayude a prevenir estos un otros casos.

Con lo delicado de la situación pediría pruebas de que tiene toda es data y si es verdad me arriesgaría a pagarles. Para no comprometer a la compañía y a los usuarios y conductores.

No hay garantías de que pagar haga que los extorsionadores cumplan su palabra, por lo tanto, pagar sencillamente no es una opción.

Las leyes de Estados Unidos prohíben el pago de rescates.

¿Finalmente como Uber resolvió el problema de la filtración de los datos?

Contratar tres especialistas: Uno que me ayude a identificar el mejor proceder a la hora de la negociación (Abogados técnicos etc). Dos un equipo de seguridad informática para determinar la el origen de la fuga y la identidad de los perpetradores. Tres relaciones publicas estrategias de minimización de impactos

En ambos casos lo mejor es asumir responsabilidades por los fallos de seguridad en los procesos internos, y buscar asesores externos que puedan ayudar a sortear la situación de la mejor manera tanto a nivel público como de tecnología. También es probable que lo mejor sea renunciar al cargo.

Si no estabas dispuesto a enfrentarte a las dificultades ¿Para qué tomaste el cargo? Confiaron en tí. Es un momento para mostrar tu profesionalidad apagando un incendio.

¿Por qué existen hackers maliciosos?
¿Cómo es que gente tan inteligente y que domina la informática emplea su inteligencia y conocimiento para el mal y no para el bien?
Creo que las posiciones de seguridad informática en la actualidad son tan importantes como la de Front End y UI Designer (lo que incrementa los costos).
Todas las universidades públicas (ya no digamos privadas) deben de ofrecer la carrera de seguridad informática.
Los principios de seguridad informática se debería enseñar desde la educación secundaria (así como se enseña cívica y ética).
Creo que toda empresa que maneje datos personales debería de almacenar esos datos personales de forma encriptada... y que sólo ellos tengan la criptografía para decodificar esa información y actualizar constantemente el código criptográfico.

Para nada soy un experto en el tema pero esas son mis dudas y aportes.

Hola Luis!

Hay una gran comunidad de Black Hat hackers (maliciosos) como de White Hat Hackers (buenos).

Generalmente los hackers maliciosos realizan secuestros de informacion digital a cambio de cantidades millonarias de dinero que requieren ser pagadas a traves de criptomonedas especificas para proteger la privacidad de sus usuarios.

Estos secuestros son posibles gracias a las vulnerabilidades que presenta el codigo de dicha empresa (el cual nunca va a ser 100% perfecto y anti-vulnerabilidades).

Muchos grupos de hackers son respaldados por potencias mundiales las cuales le otorgan proteccion a los mismos para realizar dichos ciberataques.

Y con respecto a la encriptacion: en la actualidad existen muchos ataques de ingenieria social, los cuales no dependen de acertar o encontrar una contrasena sino de manipular a las personas del entorno que quieres hackear para que puedas acceder al sistema, ya sea con datos personales, identificaciones, etc. lo cual requiere un servicio de inteligencia previo mejor conocido como OSINT.

Articulo de un chico de 17 años que consigue hackear cuentas de celebridades a traves de la ingeniera social

Gracias authenrication por tu respuesta.

Verifico si lo que me dicen es verdad
analizo lo que tienen y lo que quieren. 3.analizo riesgos de no colaborar y de colaborar. 4.Entro a negociación con ellos.

Seria mas practico y rapido:

Iniciar el plan de contingencia por el ataque cibernético.
Al encontrar la vulnerabilidad, se buscaría solucionar internamente lo antes posible.
Reportar a las autoridades correspondientes.
Sabiendo el impacto se buscaría reforzar los protocolos de seguridad cibernética.

Lo que haría sería:

Leer cuales son las demandas del hacker.
Revisaría, junto con el equipo de seguridad interno, que fue lo que pasó, realizando un escaneo completo de todo el sistema.
Ir con las autoridades competentes.
Entender que tan serio fue el ataque, y que repercusiones trae al negocio.
Si encontramos el fallo de seguridad, resolverlo lo mas pronto posible.
No pagaría al atacante, ya que, gracias a Black Mirror, aprendí que los hackers se quedan con tu info y puede provocar extorciones futuras (Incluso aún despues de cumplir sus demandas).
Actualizar los protocolos de seguridad existentes.
Notificar a todos los usuarios.

Se me hace un buen plan de acción. Le agregaría al punto 8 lo siguiente: identificar a qué usuarios se les extrajo la información para sólo enviarles a ellos el comunicado y no dañar la reputación de la marca.

Inmediatamente involucraria a las autoridades competentes para intentar capturar a los responsables. Con losdelincuentes no se puede mediar pues despues de pedir un soborno y darse cuenta que pueden pedir aun más, nadie saciara esa sed de dinbero. Por otra parte nada les impide ahora continuar con los clientes individuales que de igual manera afectaria el good will de la mepresa.

Esa es una preoupación que se debe tener siempre cuando se construye software. Tener la noción de seguridad iinformática, invertir en una estructura de seguridad que siempre este realizando mejoras. Se debe invertir en los mejores ingenieros de seguridad informática. En este caso yo pagaría a una empresa de investigación para saber quienes fueron los hackers, y se que aunque yo pagara igual se llegarían a filtrar los datos tendria que hacer la compensacion a los mis usuarios

Buen caso.

Este problema tiene que ser planteado a la alta dirección y evaluar las consecuencias, todas. Aquí obviamente necesitas asesoría legal de primer nivel. Y luego ver qué correcciones hacer a futuro. Importante ver si la filtración fue desde dentro.

Concuerdo en que no se puede negociar con extorsionadores pero hay que hacer control de daños, porque a partir de esa información pueden haber muchas personas perjudicadas.

También la ley tiene que adecuarse a la protección de la información y a la no adquisición de dicha info por la competencia. Por ejemplo Hay muchas empresas que adquieren datos de manera ilegal para acceder a potenciales cliente

No tengo ninguna idea sobre seguridad informática pero desde la perspectiva legal considero debía haber estado contemplado los términos y condiciones en los que se aclare los términos en cuanto a la responsabilidad ante posibles situaciones como esta. En los términos y condiciones la empresa se puede deslindar o limitar su responsabilidad alegando por ejemplo un caso fortuito, algo como que para tal ataque se implementó tecnología desconocida. Con la aplicación del lenguaje técnico en esta industria se han burlado de los tribunales en todo el mundo, sobre todo las redes sociales.

Honestamente, sufrir de extorsión generaría mucho estrés. Es relativo a la importancia de lo que está en juego. En su caso, me iría por las decisiones legales, consultaría a mis abogados como proceder, esto para proteger tanto a la empresa como a los clientes. Claro está, una vez meditado y evaluado con el nivel jerárquico más alto de la compañía.

Se me hace una buena forma de verlo. También sería valioso asesorarte de personas que ya hayan vivido estas experiencias.

Software at the core

Tecnología Empresarial: Fundamentos para Directores y Gerentes

Gestión de Equipos Técnicos y Valor del Software en Tecnología

Desarrollo de Software: Estrategias y Decisiones Clave

Contratación Efectiva de Talento Tecnológico en Empresas

Gestión de Equipos Creativos en Empresas de Software

Decisiones estratégicas: software propio vs. software de terceros

Decisiones Estratégicas: Construir, Delegar o Comprar Tecnología

Análisis del Éxito de Tesla en el Mercado Automotriz

Estrategia de Innovación y Tecnología en Tesla

El ciclo del desarrollo de tecnología empresarial

Errores y Lecciones del Caso Accenture-Hertz en Transformación Digital

Proceso de Desarrollo de Productos Tecnológicos Efectivo

Roles Clave en el Desarrollo de Software Moderno

Roles Clave en Liderazgo de Proyectos Tecnológicos

Gestión Efectiva de Fechas de Entrega en Proyectos Tecnológicos

Evaluación de Liderazgo y Equipos de Alto Rendimiento en Tecnología

Estrategias de fijación de precios en proyectos tecnológicos

Análisis del Caso Legal Accenture vs Hertz: Lecciones y Estrategias

Seguridad informática

Casos de Filtración de Datos: Lecciones de Uber y Marriott

Contraseñas Seguras y Autenticación de Doble Factor

Prácticas Esenciales de Seguridad Personal en Tecnología

Consejos Esenciales de Seguridad Informática Empresarial

Gestión de Datos y Seguridad al Despedir Empleados

Gestión de Crisis por Filtraciones de Datos en Empresas

Infraestructura avanzada de software en empresas

Arquitectura de Aplicación Logística en Excel: Tablas y Estructura de Datos

Estructura de Datos y Tablas en Aplicaciones Logísticas

Desarrollo de Backend Seguro y Gestión de Accesos

Arquitectura de Software para Aplicación de Control de Naviera

Gestión de la Deuda Técnica en Desarrollo de Software

Conceptos básicos de servidores y servicios en red

Configuración y Mantenimiento de Servidores de Oficina

Estructura y Seguridad de Data Centers Profesionales

Fundamentos de Servicios en la Nube y Conectividad Global

Certificaciones clave para servidores locales: PCI, HIPAA, ISO 27001

Fundamentos de la Inteligencia Artificial en Negocios

Aplicaciones actuales y éticas de la inteligencia artificial

Recursos Humanos y Gestión de Talento

Salarios de Programadores en Latinoamérica y España: Análisis Comparativo

Crecimiento Salarial en Tecnología en Moneda Local y Dólares

Impacto del Inglés y Género en Salarios Tecnológicos en Latinoamérica

Análisis de Variabilidad Salarial en Tecnología en Latinoamérica y España

Motivación y Retención de Talento en Tecnología

Estructura Organizativa de Equipos de Ingeniería en Empresas Tech

Adaptación Rápida a la Transformación Digital

Casos de Filtración de Datos: Lecciones de Uber y Marriott