Mercari, importante plataforma de comercio electrónico fue víctima de una brecha de datos a consecuencia de un ataque a la cadena de suministros Codecov.
Mercari es una empresa pública japonesa, dedicada al mercado en línea, hace poco lograron expandirse a Reino Unido y Estados Unidos, alcanzando una cifra alta de usuarios a nivel mundial.
Recientemente, la compañía reveló que fue víctima de una violación de datos, como impacto de un ataque que se produjo en Codecov. Esta última, herramienta de cobertura de código, sufrió un ataque con una duración de dos meses, en el que los atacantes modificaron su herramienta Codecov Bash Uploader, la cual almacena información sensible como, claves, tokens y credenciales.
Los ciberdelicuentes que realizaron el ataque a Codecov violaron múltiples redes de clientes, mediante las credenciales recopiladas de la herramienta a la que accedieron.
Como consecuencia, Mercari anunció que decenas de miles de registros de clientes, incluida información financiera, fueron expuestos a actores externos debido a la violación de Codecov.
Con base en la investigación realizada, Mercari afirma que los registros comprometidos incluyen:
17.085 registros relacionados con la transferencia de ingresos de ventas a cuentas de clientes que ocurrieron entre el 5 de agosto de 2014 y el 20 de enero de 2014. Los mismos incluyen código bancario, código de sucursal, número de cuenta, titular de la cuenta y monto de la transferencia.
7,966 registros de socios comerciales de “Mercari” y “Merpay”, incluidos nombres, fecha de nacimiento, afiliación y dirección de correo electrónico.
2.615 registros de empleados, incluidos los que trabajan para una subsidiaria de Mercari. Nombres de algunos empleados actualizados en abril de 2021, dirección de correo electrónico de la empresa, identificación de empleado, número de teléfono o fecha de nacimiento; del mismo modo, detalles de empleados anteriores, algunos contratistas y empleados de empresas externas que interactuaron con Mercari
217 casos de soporte de servicio al cliente registrados entre noviembre de 2015 y enero de 2018. Los datos expuestos incluyen el nombre del cliente, la dirección, la dirección de correo electrónico, el número de teléfono y el contenido de la consulta.
Mercari se dio cuenta del impacto de la violación de Codecov poco después que Codecov anunciara el ataque a mediados de abril.
Cuando Mercari determinó que sus datos estaban en manos de un actor malicioso, desactivó inmediatamente las credenciales y continuó investigando el impacto total de la violación.
Aquellos usuarios cuya información se ha visto comprometida fueron notificados por la empresa y también notificaron a las autoridades pertinentes, incluida la Comisión de Protección de Información Personal en Japón, de esta violación de datos.
La compañía se disculpó por los inconvenientes causados y declaró que continuará implementando más medidas de mejora de la seguridad e investigando este asunto mientras utiliza el conocimiento de expertos en seguridad externos, y reportará de inmediato cualquier información nueva que deba anunciarse.
Fuente: