Toyota confirma brecha después de amenazas de ransomware Medusa de filtrar datos
Toyota Financial Services confirmó acceso no autorizado en sistemas de su operación de Europa y África después de que el grupo de ransomware Medusa la publicara en su sitio de filtraciones y exigiera US$8 millones. Un analista apuntó a un Citrix Gateway sin parchear en Alemania como posible puerta de entrada.
Toyota Financial Services (TFS), la filial de Toyota Motor Corporation que ofrece financiamiento automotriz en el 90% de los mercados donde la marca vende autos, confirmó que detectó actividad no autorizada en sistemas de un número limitado de sus ubicaciones en Europa y África. La confirmación llegó después de que el grupo de ransomware Medusa la incluyera en su sitio de filtraciones de la web oscura con una exigencia de US$8.000.000 para borrar los datos supuestamente robados.
Lo que publicó Medusa
Los atacantes le dieron a Toyota 10 días para responder y ofrecieron extender el plazo a cambio de US$10.000 por día.
Como prueba, Medusa publicó una muestra de los datos: documentos e informes financieros, hojas de cálculo, facturas de compra, acuerdos, escaneos de pasaportes, organigramas internos, direcciones de correo del personal, contraseñas con hash e incluso IDs de usuario con contraseñas en texto claro. También difundió un archivo .TXT con el árbol de directorios de todo lo que dice haber extraído. La mayoría de los documentos estaba en alemán, lo que sugiere que el acceso fue a sistemas de la operación en Europa Central.
Toyota no confirmó si hubo robo de datos. Un portavoz explicó a BleepingComputer que la empresa desconectó ciertos sistemas para investigar y reducir el riesgo, que trabaja con las fuerzas del orden y que la restauración ya estaba en marcha en la mayoría de los países. «Hasta ahora, este incidente se limita a Toyota Financial Services Europe & Africa», señaló.
La pista de Citrix Bleed
El analista de seguridad Kevin Beaumont observó que la oficina alemana de TFS tenía un endpoint Citrix Gateway expuesto a Internet sin actualizar desde agosto de 2023. Eso lo dejaba vulnerable a Citrix Bleed (CVE-2023-4966), una vulnerabilidad de severidad crítica. Toyota no confirmó que esa fuera la vía de entrada, pero el contexto pesa: días antes se había confirmado que operadores del ransomware Lockbit usaban exploits públicos de Citrix Bleed en los ataques contra Industrial and Commercial Bank of China (ICBC), DP World, Allen & Overy y Boeing. Con una superficie expuesta estimada en varios miles de endpoints, era esperable que otros grupos de ransomware se sumaran.
Por qué importa y qué hacer
El caso muestra cómo un solo equipo perimetral sin parchear en una oficina regional puede comprometer a una filial de un grupo global. Para las empresas financieras y automotrices de Latinoamérica que usan Citrix Gateway, la lección es directa: una vulnerabilidad con exploits públicos y campañas activas de ransomware no admite ventanas de parcheo largas. Y la muestra publicada por Medusa, con contraseñas en texto claro y pasaportes escaneados, recuerda que lo que el atacante encuentra depende de cómo se guardan los datos adentro.
- Verifica que todos los Citrix Gateway, incluidos los de filiales y oficinas regionales, tengan aplicado el parche para CVE-2023-4966.
- Revisa los registros de acceso de esos equipos en busca de sesiones o cuentas que no reconozcas, en especial si estuvieron sin actualizar desde agosto de 2023.
- Busca archivos con contraseñas en texto claro en recursos compartidos y muévelas a un gestor de secretos.
- Mantén un inventario de dispositivos perimetrales expuestos a Internet por país y revisa cada mes su nivel de actualización.
Relacionado:
Ciberataques a servicios de salud afectan marcapasos y millones de registros
Aumento significativo en las pérdidas por ciberdelincuencia en 2025
Extraditan a Estados Unidos a un hacker ucraniano vinculado a los ataques de ransomware de REvil
Nota elaborada por Ciberseguridad en español a partir de información publicada por Bleeping Computer. Los detalles pueden cambiar: para actualizaciones, consultá la fuente original.
Comentarios
Publicar un comentario