Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Filtración de datos de Accellion
Filtración de datos de Accellion
La filtración de datos de Accellion fue un ataque masivo a la cadena de suministro que explotó un producto heredado de transferencia de archivos. Este incidente afectó a cientos de organizaciones en todo el mundo, incluyendo universidades, agencias gubernamentales y grandes corporaciones. Los atacantes robaron y filtraron datos sensibles, lo que provocó daños financieros y de reputación importantes para los clientes de Accellion y sus propios clientes. Es un ejemplo clásico, por no decir aterrador, de cómo una sola vulnerabilidad puede tener un efecto dominó masivo.
La filtración de datos de Accellion explicada: ¿qué pasó?
La brecha de datos de Accellion ocurrió cuando actores de amenazas explotaron múltiples vulnerabilidades de día cero (zero-day) en el antiguo File Transfer Appliance (FTA) de la empresa, con 20 años de antigüedad. A partir de diciembre de 2020, los atacantes usaron estas fallas para instalar un web shell, extraer datos sensibles de los clientes de Accellion y luego extorsionarlos amenazando con publicar la información robada en línea.
¿Cuándo ocurrió la filtración de datos de Accellion?
La explotación inicial de las vulnerabilidades comenzó a mediados de diciembre de 2020. Accellion se enteró de la primera vulnerabilidad el 23 de diciembre de 2020. Los ataques continuaron en oleadas durante enero de 2021, a medida que los actores de amenazas descubrían y explotaban fallas zero-day adicionales en el software FTA heredado.
¿Quién hackeó a Accellion?
El ataque se atribuye a un grupo de amenazas con motivación financiera conocido como FIN11. Los investigadores de seguridad también vinculan esta actividad con el grupo UNC2546 y con los operadores del ransomware Clop. Este grupo es conocido por explotar vulnerabilidades para el robo de datos a gran escala y la extorsión, apuntando a organizaciones con alta probabilidad de pagar.
¿Cómo ocurrió la filtración de Accellion?
La filtración fue una clase magistral en la explotación de tecnología antigua. Los atacantes apuntaron al producto heredado File Transfer Appliance (FTA) de Accellion, un producto que ya estaba programado para su retiro. Encadenaron cuatro vulnerabilidades zero-day distintas para obtener acceso, instalar un web shell personalizado llamado DEWMODE y robar grandes cantidades de datos de los clientes de Accellion.
Cronología de la filtración de datos de Accellion
Mediados de diciembre de 2020: Comienza el ataque. FIN11 empieza a explotar la primera vulnerabilidad de inyección SQL en el producto FTA.
23 de diciembre de 2020: Accellion es alertada sobre la vulnerabilidad y publica un parche en 72 horas.
Fines de enero de 2021: Los atacantes despliegan una segunda oleada de ataques, explotando nuevas vulnerabilidades. Accellion publica más parches.
Enero de 2021 - marzo de 2021: El sitio de filtraciones del ransomware CLOP comienza a publicar datos robados de organizaciones víctimas, incluyendo universidades, proveedores de salud y corporaciones.
1 de febrero de 2021: Accellion publica su parche final para el producto FTA e insta a todos los clientes restantes a migrar a su nueva plataforma Kiteworks.
Febrero de 2021: El FBI y CISA publican una alerta conjunta de ciberseguridad detallando el ataque y brindando orientación de mitigación.
Detalles técnicos
La herramienta principal de los atacantes fue un web shell diseñado a medida, con nombre en clave DEWMODE. Después de explotar una vulnerabilidad inicial de inyección SQL (CVE-2021-27101), la usaron para colocar este web shell en los servidores FTA comprometidos. DEWMODE permitió a los atacantes navegar por el sistema de archivos del servidor y descargar archivos. Más tarde usaron otras vulnerabilidades (CVE-2021-27102, CVE-2021-27103, CVE-2021-27104) para escalar privilegios y exfiltrar datos de forma más eficiente, antes de intentar cubrir sus huellas eliminando los registros.
Indicadores de compromiso (IoC)
Los indicadores de compromiso conocidos para el ataque de Accellion incluyen el web shell DEWMODE y varias direcciones IP asociadas con la infraestructura de comando y control de los atacantes. La alerta de CISA proporciona una lista detallada de hashes de archivos e indicadores de red para que las organizaciones los busquen dentro de sus entornos. El web shell generalmente se encontraba en rutas como /home/seos/courier/ en los dispositivos FTA comprometidos.
Investigación forense y de incidentes
Las investigaciones realizadas por Accellion y firmas forenses externas confirmaron que los atacantes explotaron cuatro vulnerabilidades zero-day. Descubrieron que el ataque se limitó al producto heredado FTA y no afectó la plataforma moderna Kiteworks de la compañía. La investigación reveló que los atacantes eran altamente sofisticados, utilizando múltiples oleadas de ataque y limpiando cuidadosamente sus huellas para evadir la detección.
¿Qué datos se vieron comprometidos en la filtración de Accellion?
La filtración expuso una gran variedad de datos sensibles almacenados por los clientes de Accellion. Esto incluyó:
Información de identificación personal (PII): números de seguro social, números de licencia de conducir, fechas de nacimiento.
Información de salud protegida (PHI): registros médicos, información de tratamiento, datos de seguro médico.
Datos financieros: números de cuentas bancarias, detalles de tarjetas de crédito.
Propiedad intelectual: documentos corporativos confidenciales y datos de investigación.
Los datos no estaban cifrados en reposo en los servidores FTA, lo que los hacía fácilmente accesibles una vez que los atacantes lograban entrar.
¿Cuántas personas se vieron afectadas por la filtración de datos de Accellion?
Si bien Accellion tenía alrededor de 300 clientes en total usando el producto heredado FTA, el número de personas afectadas llega a los millones. Debido a la naturaleza de la filtración como un ataque a la cadena de suministro, el impacto se extendió en cascada hacia los clientes de los clientes de Accellion. Por ejemplo, un solo proveedor de salud, Health Net, reportó que 1,2 millones de sus miembros se vieron afectados.
¿Se expusieron mis datos en la filtración de Accellion?
Es probable que Accellion no te haya notificado directamente. En cambio, cualquier notificación vendría de la organización cuyos datos se vieron comprometidos (por ejemplo, tu universidad, banco o proveedor de salud). Estas organizaciones eran responsables de informar a las personas afectadas si sus datos se expusieron y, por lo general, ofrecieron servicios de monitoreo de crédito.
Principales impactos de la filtración de Accellion
Las consecuencias fueron masivas y afectaron a las empresas en múltiples frentes.
Pérdida financiera: Las víctimas enfrentaron costos de respuesta a incidentes, demandas de extorsión, multas regulatorias y honorarios legales por demandas colectivas.
Daño reputacional: La filtración dañó gravemente la reputación tanto de Accellion como de sus clientes afectados, erosionando la confianza con sus clientes y socios.
Interrupción del negocio: Muchas organizaciones tuvieron que suspender operaciones para investigar la filtración y asegurar sus sistemas, lo que generó tiempos de inactividad significativos.
Efectos en la cadena de suministro: El ataque puso de relieve los riesgos del software de terceros, ya que cientos de organizaciones resultaron víctimas a través de un solo producto comprometido.
Respuesta a la filtración de datos de Accellion
La respuesta de Accellion se centró en el control de daños y en alejar a los clientes del producto heredado comprometido. Desarrollaron y lanzaron parches rápidamente a medida que se descubrían vulnerabilidades. La empresa también aceleró el cronograma de fin de vida útil del producto FTA, instando a todos los clientes a migrar a su plataforma más segura, Kiteworks. Cooperaron con agencias de aplicación de la ley como el FBI y brindaron actualizaciones a los clientes durante todo el incidente.
Lecciones de la filtración de datos de Accellion
Esta filtración fue una lección difícil pero valiosa para la comunidad de ciberseguridad.
Elimina la tecnología heredada: Usar software antiguo y sin soporte es como dejar la puerta principal abierta de par en par. El FTA de 20 años fue el eslabón débil.
La gestión de riesgos de proveedores es crítica: Necesitas saber qué están haciendo tus proveedores de software. Su postura de seguridad es parte de la postura de seguridad de tu organización.
Asume que te vulnerarán: Tener un plan de respuesta a incidentes sólido no es negociable. La detección y respuesta rápidas pueden marcar la diferencia entre un problema menor y una catástrofe mayor.
Parchea, parchea, parchea: Las vulnerabilidades sin parchear son blanco fácil para los atacantes. Un programa proactivo de gestión de parches es esencial.
¿Es seguro Accellion después de la filtración?
Accellion ha retirado el producto FTA vulnerable. La empresa ahora ofrece exclusivamente su plataforma de firewall de contenido empresarial, Kiteworks, que no se vio afectada por la filtración y está construida sobre una arquitectura más moderna y segura. Si bien ninguna empresa puede ser 100 % "segura", Accellion ha tomado medidas importantes para asegurar su línea de productos y evitar que vuelva a ocurrir un incidente similar.
Estrategias de mitigación y prevención
No dejes que lo que les pasó a los clientes de Accellion te pase a ti. Aquí tienes algunos consejos prácticos para reforzar tus defensas:
Gestión de parches: Mantén todo el software, especialmente los sistemas expuestos a internet, actualizado con los últimos parches de seguridad.
Autenticación multifactor (MFA): Aplica la MFA en todos los sistemas y cuentas críticos para dificultar que los atacantes usen credenciales robadas.
Monitoreo de red: Usa herramientas de seguridad como un SIEM y EDR para monitorear el tráfico de red en busca de actividad sospechosa, como transferencias de datos grandes e inesperadas.
Diligencia debida con proveedores: Evalúa a fondo las prácticas de seguridad de todos tus proveedores externos antes de integrar sus productos en tu entorno.
Retira los sistemas heredados: Crea una hoja de ruta para eliminar gradualmente la tecnología antigua y sin soporte que ya no recibe actualizaciones de seguridad.
Preguntas frecuentes sobre la filtración de datos de Accellion
La brecha ocurrió cuando los atacantes explotaron cuatro vulnerabilidades de día cero (zero-day) en el Accellion File Transfer Appliance (FTA) heredado. Usaron estas fallas para instalar un web shell, lo que les permitió acceder y exfiltrar datos sensibles de los clientes de Accellion.
Se expuso una amplia gama de datos confidenciales, incluyendo información de identificación personal (PII) como números de seguro social, información de salud protegida (PHI), datos financieros y propiedad intelectual. Los datos estaban sin cifrar en los servidores comprometidos.
El ataque se atribuye al grupo de cibercrimen con motivación financiera FIN11, que tiene vínculos con la operación de ransomware CLOP. Este grupo se especializa en explotar vulnerabilidades para el robo de datos y la extorsión.
Las empresas pueden reducir su riesgo retirando el software heredado, implementando un programa sólido de gestión de parches y realizando revisiones de seguridad exhaustivas de todos los proveedores externos. Aplicar la autenticación multifactor y monitorear continuamente la actividad de la red en busca de anomalías también son estrategias de prevención críticas.
