Era un martes a eso de las 9 p. m. Reviso mi correo en el celular y encuentro una notificación de StubHub por una transacción recién hecha con mi cuenta. Parecía un correo de phishing clásico por 2 boletos para el partido de Hawks contra Cavs en Atlanta (que ganaron los Cavs) por $913.20. Estaba a punto de borrar el correo y seguir con mi día, pero algo me llamó la atención. ¿Y si en realidad me habían cobrado esto? ¿Me habían hackeado la cuenta de StubHub?
Entonces revisé todas nuestras cuentas empresariales y tarjetas de crédito para verificar si había ocurrido alguna transacción en ellas. Nada. Luego revisé mis tarjetas de crédito y cuentas bancarias personales. Nada. Bien, ¿estaba a salvo? Entonces decidí entrar a mi cuenta personal de Paypal solo para revisar, y efectivamente había una transacción por $913.20 recién hecha. Una transacción que parecía estar conectada directamente a mi cuenta bancaria. Al día siguiente se retiraron $913.20 de mi cuenta bancaria desde PayPal.
¿Cómo hackearon mi cuenta de Stubhub?
Ya era bastante grave que hackearan mi cuenta de Stubhub, digo, no es la primera vez que hackean Stubhub. Pero, ¿y mi Paypal? Esto no tenía ningún sentido. Tengo una contraseña extremadamente fuerte con autenticación de dos factores habilitada. No vi ningún correo de restablecimiento en mi bandeja, ningún intento de desactivar la autenticación de dos factores, y mi contraseña es muy fuerte. Aun así, cambié mis contraseñas y verifiqué que todo estuviera configurado correctamente en Paypal para protegerme de un uso no autorizado.
Entonces empecé a investigar cómo había pasado todo esto. ¿Alguien tomó el hash de la contraseña de Stubhub? No caí en ningún phishing. ¿Tenía malware en mi equipo o quizás hasta un registrador de teclas? (Desde entonces ya reinstalé mi equipo por completo) Después de un rato de búsqueda finalmente entendí qué había pasado. Si alguna vez conectaste tu cuenta de Paypal a Stubhub en el pasado, queda activamente conectada para hacer cualquier transacción en todo momento. Cualquiera con acceso a tu cuenta de StubHub puede comprar al instante cualquier boleto, siempre que alguien tenga acceso a tu cuenta de StubHub. Así que olvídate de cualquier tipo de autenticación en tu cuenta de Paypal: una vez conectada, queda ahí para siempre sin autenticación al hacer una transacción.
También descubrí que la única forma de quitar tu cuenta de Paypal es llamar a StubHub y que alguien la remueva manualmente. No puedes hacer esto en línea, ya que pregunté específicamente si había una manera de hacerlo. Tampoco puedes quitar una tarjeta de crédito de tu cuenta y necesitas llamar para que la remuevan. Para una aplicación tan enfocada en el consumidor, uno pensaría que tendrían esta función disponible para sus usuarios.
¿Cómo respondió StubHub?
StubHub envió mi caso a su departamento de Confianza y Seguridad. No recibí respuesta durante varios días y decidí llamarlos. El representante de servicio al cliente me notificó que no podía hablar con nadie de ese departamento y que seguían trabajando en el caso. Dijo que no tenía más información disponible para mí y que me llamarían en 24 horas. Nunca llamaron. Luego, varios días después, recibí el siguiente correo:
Estimado Nicholas,
Tras revisar los cargos en tu cuenta de PayPal vinculada al correo (mi dirección de correo), StubHub! determinó que esto no es una transacción fraudulenta. StubHub.com no se hace responsable del uso no autorizado de tarjetas de crédito por parte de familiares, compañeros de trabajo o conocidos.
El pedido 193179542 corresponde a boletos para Cleveland Cavaliers en Atlanta Hawks el 1/4/2016 (2 boletos por un costo total de $912.20). Este pedido se compró desde tu cuenta de StubHub! vinculada al correo (mi dirección de correo) y tu cuenta de PayPal se agregó a la cuenta para realizar este pedido.
No podemos emitir un reembolso por estos cargos, pero sí podemos cambiar los cargos a una tarjeta de crédito diferente con la autorización adecuada. Si deseas presentar un informe policial o una decisión judicial que demuestre que esto fue un robo y no una compra no autorizada, con gusto revisaremos los cargos de nuevo. Sin estos documentos, StubHub no podrá emitir un reembolso.
Como alternativa, podemos trabajar contigo para resolver este problema si los boletos se compraron por error o por un amigo o familiar. Comunícate con nuestro departamento de Servicio al Cliente al (866)-788-2482 y uno de nuestros representantes te ayudará con varias opciones diferentes, como volver a listar los boletos para la venta.
No dudes en contactarnos si tienes más preguntas sobre este tema.
Atentamente,
John
StubHub Trust and Safety
Genial, pueden ayudarme a vender boletos robados a alguien más que yo nunca compré. Incluso busqué en StubHub y encontré a alguien vendiendo boletos en esa misma fila y sección diciendo "estos asientos normalmente se venden por más de $900 el par, pero los dejo en $300".
¿Cómo respondí?
Además de limpiar mis cuentas en línea, cambiar contraseñas e investigar qué había pasado, notifiqué a PayPal de inmediato. PayPal mantuvo el caso abierto por un par de días y luego respondió con un reembolso a mi cuenta por el uso no autorizado de mi PayPal. Entonces llamé a StubHub y les conté lo que había pasado. Pedí quitar mi cuenta de Paypal, mis tarjetas de crédito, y cerrar mi cuenta. Sorprendentemente fue fácil obtener acceso a mi cuenta, solo necesité decirles una dirección de correo y un código postal. De hecho les dije que había olvidado mi código postal y les pregunté si podían decirme cuál tenían registrado. El agente felizmente lo leyó y yo respondí "Ah sí, ese es". También me dieron acceso a cuentas de tarjetas de crédito y direcciones cuando no podía "recordarlas". Pregunté si podían quitar todas de mi cuenta. Hice todo esto para verificar qué tan débil es el método de verificación de StubHub para el acceso a la información de la cuenta. Probablemente podría haber cambiado incluso la contraseña, direcciones, información de facturación o prácticamente cualquier otra cosa por teléfono en ese punto, pero pensé que ya había llegado demasiado lejos.
Conclusión
Todos corremos el riesgo de que nos hackeen, hasta le pasa a los mejores. Lo importante es saber cómo recuperarte de esto y tener un plan para responder cuando te pase. Incluso con la contraseña y los controles más fuertes, todos seguimos en riesgo. Como CEO de una empresa de ciberseguridad, estoy bajo la mira de ataques contra mis cuentas en línea a diario. Soy muy cauteloso con lo que hago en línea y cómo manejo mis cuentas, y tú también deberías serlo.
Es importante señalar que el usuario promedio tiene casi 30 cuentas únicas en línea con contraseñas dispersas por todos lados. Tómate un tiempo para hacer una limpieza de contraseñas este trimestre y ordenar tus cuentas en línea. Activa la autenticación de dos factores si está disponible en cada una de tus cuentas en línea. Finalmente, si tienes StubHub, elimina tu cuenta de inmediato hasta que arreglen sus vulnerabilidades. Digo esto por el bien de la comunidad y espero que esto impulse a StubHub y empresas similares a ayudar a proteger los datos de sus clientes.
Nuestro entrenamiento de SAT ofrece episodios sobre el uso y la protección de contraseñas. Si todavía no has probado el Managed Security Awareness Training de Huntress, ¡comienza hoy tu prueba gratuita de SAT!
