Multa millonaria por fallos de seguridad
La Oficina del Comisionado de Información (ICO) del Reino Unido ha impuesto una multa de 963.900 libras (1,3 millones de dólares) a South Staffordshire Water Plc y su empresa matriz South Staffordshire Plc por un ciberataque que comprometió los datos personales de 663.887 clientes y empleados. La compañía suministra 330 millones de litros de agua potable al día a 1,6 millones de consumidores.
En 2022, la empresa reveló haber sufrido un ciberataque que afectó sus operaciones de TI. En ese momento, desestimó las afirmaciones del grupo de ransomware Cl0p, que se atribuyó el ataque, pero las muestras de datos filtrados resultaron ser genuinas. La investigación de la ICO confirmó que los datos filtrados pertenecían efectivamente a South Staffordshire Water y que la intrusión había comenzado en septiembre de 2020.
"Hemos multado a South Staffordshire Plc y South Staffordshire Water Plc con 963.900 libras tras un grave ciberataque que resultó en la extracción y publicación en la dark web de la información personal de 663.887 personas", señala el anuncio de la ICO. "El ataque, que se remonta a septiembre de 2020 pero ocurrió principalmente entre mayo y julio de 2022, expuso fallos significativos en el enfoque de la empresa hacia la seguridad de los datos y dejó vulnerables a clientes y empleados durante casi dos años".
Según la ICO, la brecha se produjo mediante un ataque de phishing que permitió a los atacantes instalar malware en los sistemas de la empresa. El malware permaneció sin ser detectado durante 20 meses. Entre mayo y julio de 2022, el atacante escaló privilegios en la red de South Staffordshire Plc y obtuvo acceso como administrador de dominio. El incidente solo se descubrió en julio de 2022, cuando problemas de rendimiento de TI desencadenaron una investigación.
Datos expuestos y fallos de seguridad
Los datos filtrados incluían nombres completos, direcciones físicas, correos electrónicos, números de teléfono, fechas de nacimiento, credenciales de cuentas de clientes, detalles de cuentas bancarias y datos de recursos humanos de los empleados, como números de seguro nacional.
- Controles insuficientes para evitar la escalada de privilegios
- Monitoreo que cubría solo alrededor del 5% del entorno de TI
- Uso de software obsoleto, como Windows Server 2003
- Gestión deficiente de vulnerabilidades y parches de seguridad faltantes
- Falta de escaneos de seguridad internos y externos regulares
Estos fallos constituyen una violación de los requisitos de protección de datos del Reino Unido, según el regulador, lo que motivó la imposición de la multa. El monto inicial era mayor, pero dado que South Staffordshire admitió su responsabilidad de manera temprana, cooperó con la investigación y acordó resolver el caso sin apelación, la ICO redujo la penalización en un 40%.
