El minorista minorista WH Smith ha sido víctima de un ataque cibernético en el que los perpetradores accedieron a datos confidenciales de la empresa, incluida información personal de empleados anteriores y actuales.
La empresa confirmó que los atacantes no han podido acceder a los datos de los clientes ni desde su sitio web ni desde las bases de datos internas, ya que esa información se almacena en sistemas separados “que no se han visto afectados por este incidente”.
WH Smith agregó que había iniciado una investigación y ha informado a las autoridades pertinentes sobre el incidente.
“WH Smith se toma muy en serio el tema de la seguridad cibernética y las investigaciones sobre el incidente están en curso”, dijo un portavoz. “Estamos notificando a todos los colegas afectados y hemos implementado medidas para apoyarlos. No ha habido ningún impacto en las actividades comerciales del grupo”.
Los datos personales del personal a los que accedieron los atacantes incluyen nombres, direcciones, números de seguro nacional y fechas de nacimiento. Actualmente no está claro quiénes son los perpetradores del ataque.
Computer Weekly contactó a WH Smith sobre la naturaleza del ataque y si hay alguna indicación de quién lo hizo, pero WH Smith no reveló más información más allá de su declaración.
En abril de 2022, Funky Pigeon, propiedad de WH Smith, fue víctima de un ciberataque que lo obligó a dejar de recibir pedidos durante una semana completa, aunque tampoco hubo indicios de que el pago, la contraseña de la cuenta u otros datos del cliente estuvieran en riesgo en ese incidente.
Martin Mackay, director de ingresos de la firma de seguridad cibernética de redes Versa Networks, dijo que si bien estos ataques no afectaron directamente a los clientes, el último incidente no es menos grave.
“Los datos robados de los empleados generalmente terminan vendiéndose en la web oscura y pueden usarse para cometer otros delitos, como el fraude. Es una posición terrible tanto para la empresa como para los empleados: no saber quién tiene acceso a sus datos personales y, en última instancia, para qué podrían estar usándolos”, dijo, y señaló que era esencial que los equipos de seguridad obtuvieran información completa. visibilidad sobre todos los puntos finales y dispositivos conectados a su red.
“También debería haber controles de seguridad adicionales, como la segmentación de la red, que ayuden a proteger los datos más confidenciales almacenados en las redes”.
Señaló además que los minoristas continúan siendo un objetivo popular para los actores de amenazas debido a la cantidad de datos personales que tienen y el impacto generalizado que pueden tener los ataques a estas organizaciones.
Jason Gerrard, director de ingeniería de sistemas internacionales de Commvault, agregó que es esencial contar con las herramientas correctas para identificar las amenazas de manera temprana.
“Un sistema de detección temprana, como el engaño cibernético, pondrá a las organizaciones un paso por delante del atacante. Se despliegan señuelos para desviar al atacante y atraerlo hacia activos falsos, en lugar de los reales”, dijo.
“Las organizaciones reciben una alerta tan pronto como el atacante ingresa al entorno de TI del señuelo para que los equipos de seguridad puedan tomar medidas inmediatas y aislar el activo. Con el tiempo de respuesta significativamente reducido, es mucho menos probable que los ciberdelincuentes ingresen a los sistemas reales”.
Otros minoristas y organizaciones orientadas al consumidor recientemente afectados por ataques cibernéticos incluyen JD Sports, que vio acceder a los datos de hasta 10 millones de clientes en enero de 2023, y Royal Mail, que se vio afectada por un presunto ataque de ransomware LockBit a principios de enero de 2023 que dejó su servicio de exportación internacional paralizado durante semanas.