Ticketmaster vuelve a estar en el punto de mira: el grupo Arkana reaprovecha datos robados en el ataque a Snowflake
Introducción
El fin de semana pasado, la banda de extorsión Arkana Security publicó en su sitio de filtraciones un anuncio que generó alarma entre responsables de seguridad y analistas SOC: la supuesta filtración de un nuevo paquete de datos robados a Ticketmaster. Sin embargo, una investigación técnica revela que se trata, en realidad, de los mismos datos exfiltrados durante los recientes ataques dirigidos contra clientes de la plataforma Snowflake, entre ellos la propia Ticketmaster. Este episodio evidencia cómo los grupos de cibercrimen reutilizan y reciclan información obtenida en grandes brechas para maximizar el impacto y la presión sobre las víctimas y sus usuarios.
Contexto del incidente
El ataque original tuvo lugar a finales de mayo de 2024, cuando actores maliciosos aprovecharon credenciales comprometidas para acceder a múltiples cuentas corporativas en Snowflake, un proveedor cloud de almacenamiento y análisis de datos. Ticketmaster fue uno de los afectados más mediáticos, junto con otras empresas del sector retail, financiero y tecnológico. El grupo ShinyHunters, conocido por ataques previos a otras grandes organizaciones, fue el primero en anunciar la venta de los datos, valorando el paquete en 500.000 dólares.
Este fin de semana, Arkana Security, una banda menos conocida pero con presencia en foros de la dark web, intentó capitalizar la notoriedad del caso presentando los mismos datos como una nueva filtración. La estrategia, habitual en el ecosistema criminal, busca aumentar la presión sobre las empresas para forzar el pago de rescates o simplemente obtener notoriedad y compradores para la información robada.
Detalles técnicos: CVE, vectores de ataque y TTPs
El incidente no está vinculado a una vulnerabilidad específica con CVE, sino a la explotación de credenciales comprometidas. Según la información publicada por Snowflake y analistas independientes, los atacantes utilizaron credenciales válidas obtenidas mediante infostealers y phishing para acceder a cuentas de clientes a través de interfaces legítimas, sin MFA habilitado, lo que facilitó la exfiltración de grandes volúmenes de datos.
Desde el punto de vista de MITRE ATT&CK, este ataque se encuadra principalmente en los siguientes TTPs:
– Initial Access (T1078): Uso de credenciales válidas.
– Discovery (T1087, T1082): Enumeración de cuentas y recursos de la organización.
– Collection (T1119): Extracción masiva de datos estructurados.
– Exfiltration Over Web Service (T1567): Transferencia de datos a servidores controlados por los atacantes.
En cuanto a IoCs, se han identificado múltiples direcciones IP, hashes de archivos y dominios asociados tanto a los infostealers originales como a los servidores de comando y control utilizados en la exfiltración. Snowflake ha publicado una lista de IoCs relevantes para su detección en entornos corporativos.
Impacto y riesgos
La filtración original afecta a más de 560 millones de registros de usuarios de Ticketmaster, incluyendo nombres, direcciones de correo electrónico, detalles de eventos, información parcial de tarjetas y datos de venta de entradas. El impacto es significativo: desde el riesgo de fraude y suplantación de identidad hasta la exposición de estrategias comerciales y relaciones con terceros.
Desde la perspectiva de cumplimiento, el incidente supone una potencial violación de la GDPR y la inminente NIS2, con sanciones que pueden alcanzar los 20 millones de euros o el 4% de la facturación global anual. Además, la exposición continuada y reventa de los mismos datos aumenta la probabilidad de que aparezcan ataques secundarios (phishing dirigido, SIM swapping, ingeniería social avanzada).
Medidas de mitigación y recomendaciones
Las organizaciones que utilizan Snowflake deben revisar de inmediato sus políticas de autenticación:
– Activar MFA obligatorio para todas las cuentas, especialmente las de administración.
– Monitorizar el acceso a través de logs y herramientas SIEM, buscando patrones anómalos y los IoCs publicados.
– Realizar una auditoría de credenciales y forzar el cambio de claves para todos los usuarios con acceso privilegiado.
– Implementar políticas de acceso basado en roles (RBAC) y limitar la superficie de exposición.
– Educar a los usuarios sobre los riesgos de phishing y el uso de gestores de contraseñas.
Para los usuarios finales, se recomienda cambiar las contraseñas reutilizadas en otros servicios y estar atentos a intentos de phishing relacionados con Ticketmaster.
Opinión de expertos
Analistas de amenazas y responsables de seguridad coinciden en que la reutilización de datos robados en múltiples campañas es una tendencia al alza. “La doble extorsión y la reventa de paquetes de datos amplifican el impacto de una brecha”, señala Elena Martínez, CISO de una entidad financiera española. “Las empresas deben asumir que los datos filtrados pueden reaparecer meses después, usados por actores distintos con fines diversos”.
Implicaciones para empresas y usuarios
Para las empresas, el incidente evidencia la importancia de una gestión estricta de identidades y accesos, así como de una respuesta rápida ante fugas en proveedores cloud. La colaboración con partners como Snowflake debe ir acompañada de revisiones periódicas de seguridad y acuerdos claros sobre la gestión de incidentes.
Para los usuarios, la filtración incrementa el riesgo de fraudes personalizados y ataques dirigidos, especialmente cuando los datos filtrados incluyen información personal y de pago.
Conclusiones
El caso Ticketmaster-Snowflake-Arkana subraya la sofisticación y persistencia de los actores de amenazas, así como la necesidad de estrategias proactivas de defensa, tanto a nivel tecnológico como organizativo. La recirculación de datos robados no solo complica la atribución y la respuesta, sino que también prolonga el ciclo de vida de los incidentes de seguridad, con consecuencias legales, económicas y reputacionales a largo plazo.
(Fuente: www.bleepingcomputer.com)