Revolve comunicó a la Oficina del Fiscal General de Indiana que el incidente de seguridad detectado en septiembre afectó a 1.515.073 individuos, según registros oficiales a los que tuvo acceso la prensa especializada. La empresa informó del suceso a la Comisión de Bolsa y Valores de EE. UU. (SEC) a finales de octubre y comenzó el envío de notificaciones a los clientes afectados alrededor de la misma fecha.
Qué datos se vieron expuestos y a quiénes afecta
Según la notificación, el intruso accedió a parte de los sistemas de Revolve, incluido su comercio electrónico, y pudo recopilar nombres, información de contacto (como direcciones postales) y datos de tarjetas de pago: números y fechas de caducidad. La compañía precisa que la exposición se limitó a usuarios que optaron por almacenar un método de pago en su cuenta en la web.
Cómo ocurrió y qué se sabe del ataque
Revolve declaró que la intrusión comenzó el 11 de septiembre y que la detectó el 29 del mismo mes. La compañía señaló que el atacante pudo haber usado “medios automatizados” para recolectar datos, pero no ha publicado detalles técnicos sobre el vector de acceso, las vulnerabilidades explotadas ni la identidad del atacante. Tampoco hay, hasta ahora, una reivindicación pública por parte de algún grupo.
Medidas tomadas por Revolve
- La empresa notificó el incidente a las autoridades federales competentes y a varios fiscales estatales.
- Contrató a expertos externos en ciberseguridad para investigar el alcance del incidente y apoyar la respuesta.
- Inició el envío de cartas informativas a las personas afectadas y presentó comunicados requeridos ante organismos reguladores.
Qué deben hacer los administradores de sitios y los propietarios de tiendas online
Aunque este caso afecta a un comercio minorista concreto, la lección es relevante para cualquier web que guarde datos de pago de clientes. Recomendamos:
- Revisar las políticas de almacenamiento de tarjetas y, siempre que sea posible, evitar guardar datos completos en servidores propios; usar tokenización y pasarelas de pago que reduzcan la exposición.
- Comprobar los registros de acceso y aplicar detección de comportamientos automatizados para identificar raspadores o bots que intenten extraer datos mediante técnicas automatizadas.
- Implementar autenticación multifactor para paneles administrativos y accesos a sistemas sensibles, y asegurar que los accesos externos estén protegidos por listas de control y VPN cuando proceda.
- Actualizar y auditar con regularidad dependencias, bibliotecas y componentes del comercio electrónico y aplicar el principio de mínimo privilegio en las cuentas de servicio.
- Preparar planes de respuesta y comunicación a clientes para acortar el tiempo entre la detección y la notificación, y coordinar la actuación con fuerzas de seguridad y expertos forenses.
Impacto y dudas pendientes
El número confirmado por Revolve amplía las cifras parciales notificadas previamente a otros estados, que cubrían alrededor de 197.000 personas. Sin embargo, la empresa no ha explicado públicamente cómo se produjo el acceso ni si se han detectado usos fraudulentos de los datos expuestos. La ausencia de detalles sobre el vector de intrusión deja abiertas preguntas importantes para administradores de sistemas y responsables de seguridad sobre qué controles fallaron y cómo reforzarlos.
Para propietarios de tiendas online, el caso refuerza la necesidad de minimizar la retención de datos sensibles y de mantener procesos de detección y respuesta que reduzcan el tiempo entre la intrusión y la contención.
Lee también:
- Ataque aprovechó el acceso confiable de Qubole a AWS para robar secretos y datos de clientes
- Francia atribuye al Cuerpo de la Guardia Revolucionaria de Irán un ciberataque que dañó sistemas de refrigeración en unos 700 supermercados
Fuente: SecurityWeek
