Los datos se venden en la web oscura tras un incidente que afectó a 35 millones de clientes de Juspay

La startup india, proveedor de servicios de pago, Juspay, dijo el martes (05) que sufrió un violación de datos que afectó a unos 35 millones de clientes, en agosto del año pasado.

Ahora un ciberdelincuente está vendiendo 365 millones de datos de empresas indias en la web oscura y Juspay se encuentra entre ellas. Las bases de datos a la venta fueron descubiertas por el investigador Rajshkhar Rajaharia, quien recibió una muestra y la publicó en Twitter.

Según el periódico Times of India, la startup tiene grandes clientes y procesa pagos a gigantes de Internet, como Amazon, Swiggy, además de otras empresas.

Justificación

Juspay garantiza que los datos violados no son comprometedores ni confidenciales. “Se han violado los registros de unos 35 millones de usuarios, con datos de tarjetas enmascarados y la huella digital de la tarjeta (que son información no confidencial). Los datos Las tarjetas enmascaradas se utilizan con fines de visualización en la interfaz de usuario del comerciante y no se puede utilizar para completar una transacción”, Escribe la empresa en un comunicado en el blog oficial.

Sin embargo, según la muestra publicada por el investigador, los datos sobre la venta revelan información como el nombre del cliente, el nombre del banco e incluso el número de móvil del cliente. “Él [o cibercriminoso] posiblemente conocido como ‘ShinyHunters’, está pidiendo $ 10,000 por [dados da] BigBasket [e] $ 8,000 para JusPay’s ”, escribe Rajaharia en Twitter.

“Además del número [do cartão] enmascarado, los datos incluyen la huella digital de la tarjeta, que es un número de tarjeta de crédito con hash. Si bien un número de tarjeta hash solo no se puede descifrar, Cualquiera que tenga acceso al algoritmo Juspay puede descifrar los números.”, Dijo el investigador al periódico Times of India.

Juspay refuerza que la violación se limitó a un sistema aislado, que contiene números de tarjetas enmascarados. Para la empresa, esta información no es confidencial y no se puede utilizar para completar una transacción.

“Todos los números de tarjeta, información de pedido, PIN de tarjeta o contraseñas completos de los clientes están protegidos. Los datos comprometidos no contienen información sobre transacciones o pedidos”, Justifica Juspay en el comunicado.

Enviar ayuda

En otro comunicado, la empresa informa que ha contratado servicios de seguridad de Verizon y PricewaterhouseCoopers (PwC) para investigar el caso y mejorar la seguridad de los datos, la información y los sistemas en la empresa.

“Hemos designado a Verizon Business para que lleve a cabo una Investigación Forense de PCI (PFI) independiente. También hemos designado a PricewaterhouseCoopers (PwC) para realizar una auditoría integral de políticas, protocolos y tecnologías. Esto ayudaría a aumentar la resiliencia y la preparación para mitigar las amenazas de los ciberataques ilegales ”, escriben.

Las violaciones de datos de Juspay fueron publicado por primera vez en el portal de Singapur The Business Times, el 12 de diciembre de 2020. Pero fue Bleeping Computer quien publicó más detalles sobre el caso, además de una captura de pantalla de un usuario vendiendo datos de 25 empresas más.

Fuentes: Rajshekhar Rajaharia; Tiempos de India; Juspay1), (dos); The Business Times; Computadora que suena.