Robo de datos confirmado, pero se desconoce su alcance
Pathao confirmó que unos atacantes obtuvieron los nombres, las direcciones de correo electrónico y los números de teléfono de algunos usuarios durante un incidente de ciberseguridad ocurrido el 4 de octubre, que interrumpió sus operaciones en Bangladesh y Nepal. La empresa no ha verificado una afirmación mucho más amplia según la cual los delincuentes robaron 133 gigabytes de información de 19.063.918 cuentas y exigieron 400.000 USDT para no divulgarla.
Contenido
- Robo de datos confirmado, pero se desconoce su alcance
- Cómo se desarrolló el incidente
- Qué contiene el supuesto conjunto de datos
- También se denuncian registros de empleados, comercios y transacciones
- La exigencia de rescate no está confirmada
- Qué dice Pathao que ha hecho
- Por qué los datos de contacto también pueden generar riesgos
- Qué se ha recomendado a los usuarios
- Qué aún debe determinar la investigación
- Puntos clave
La distinción es importante: Pathao reconoce el robo de algunos datos personales, pero no se ha verificado la supuesta exposición de documentos de identidad, transacciones financieras, contraseñas y datos de ubicación. La empresa no ha informado cuántas personas se vieron afectadas, cómo accedieron los atacantes a sus sistemas ni durante cuánto tiempo tuvieron acceso.
En un comunicado publicado el 7 de octubre en su página verificada de Facebook, Pathao confirmó públicamente por primera vez que se habían obtenido datos personales. La empresa describió la información que, según entendía, había llegado a manos de los atacantes:
«Entendemos que actores maliciosos obtuvieron ciertos datos personales, incluidos nombres, direcciones de correo electrónico y números de teléfono».
Pathao dijo que desconectó temporalmente sistemas críticos tras detectar el incidente, restableció los servicios poco después y contrató a especialistas externos en ciberseguridad. Algunos usuarios podrían seguir experimentando problemas intermitentes mientras continúan los trabajos para estabilizar la plataforma.
El incidente va más allá de un solo servicio. Pathao ofrece servicios de transporte y reparto, además de productos financieros como la billetera digital Pathao Pay y el servicio Pathao Pay Later. Por ello, es esencial determinar qué sistemas y registros se vieron afectados, pero la existencia de productos financieros no demuestra por sí sola que se haya robado información de pagos.
Al 9 de octubre, la empresa seguía investigando las acusaciones sobre el conjunto de datos de mayor tamaño. Había confirmado interrupciones en ambos países, pero no había desglosado por país el número de usuarios o registros afectados.
Cómo se desarrolló el incidente
La información pública abarca la interrupción inicial, el reconocimiento de la empresa y sus respuestas posteriores sobre el supuesto conjunto de datos. Las fechas indican cuándo se detectó el incidente y cuándo se habló de él públicamente, no durante cuánto tiempo tuvieron acceso los atacantes.
- 4 de octubre: Pathao detectó un incidente de ciberseguridad, sufrió interrupciones del servicio y desconectó temporalmente sistemas críticos como medida de precaución.
- 7 de octubre: Pathao reconoció públicamente que se habían obtenido algunos datos personales. También circuló en X una captura de pantalla de una supuesta publicación en un foro delictivo, que describía un robo mucho mayor y una exigencia de rescate.
- 9 de octubre: Nuevas respuestas de la empresa confirmaron que las operaciones en Bangladesh y Nepal se habían visto afectadas, mientras que el volumen de datos, el número de registros y las categorías de información sensible supuestamente expuestas seguían bajo investigación.
Pathao dijo que los servicios se reanudaron poco después de la interrupción. No ha publicado la duración exacta de la interrupción ni un informe técnico sobre la recuperación. Restablecer el acceso a una aplicación y completar la investigación de una filtración son tareas distintas: los servicios pueden volver a funcionar mientras los investigadores siguen determinando qué información se obtuvo.
Qué contiene el supuesto conjunto de datos
La afirmación del grupo delictivo describe aproximadamente 250 millones de filas de bases de datos distribuidas en 591 tablas, con un conjunto principal de datos de cuentas que contiene 19.063.918 registros. Una fila es una entrada individual y una tabla agrupa entradas de un tipo determinado. Varias filas pueden corresponder a una misma persona, por lo que 250 millones de filas no significarían que se vieron afectados 250 millones de usuarios.
La supuesta información de las cuentas incluye nombres, números de teléfono, direcciones de correo electrónico, datos de contraseñas, información GPS, identificadores de Facebook y tokens de acceso. Un token de acceso es una credencial digital que puede permitir que una aplicación acceda a una cuenta o servicio sin solicitar repetidamente una contraseña.
Los informes describen de forma distinta algunos aspectos de la acusación. Uno especifica que las contraseñas estaban cifradas mediante hash, mientras que otro se refiere simplemente a contraseñas. El proceso de hash transforma una contraseña en una representación almacenada, en vez de conservar el texto legible, aunque la exposición aún puede generar riesgos según cómo se haya protegido. Pathao no ha confirmado que se haya obtenido ninguna de esas dos formas.
La estructura también se describe de distintas maneras: algunas fuentes llaman tablas de bases de datos a las 591 unidades, mientras que otra las denomina bases de datos o repositorios de datos. Esos términos no son intercambiables. Sin un conjunto de datos autenticado o un análisis técnico, no es posible determinar su estructura exacta.
Los supuestos registros de identificación comprenden 19.059.387 números de documentos nacionales de identidad y 19.046.583 registros de permisos de conducir. Las acusaciones también incluyen unos 5,7 millones de domicilios y, en algunos informes, aproximadamente 19 millones de fotografías de usuarios. Pathao no ha verificado ninguna de esas categorías.
Ni siquiera el número exacto de cuentas permite determinar cuántas personas distintas se vieron afectadas. Antes de considerar esa cifra como el número de usuarios afectados, los investigadores tendrían que establecer si los registros son auténticos, actuales o duplicados.
También se denuncian registros de empleados, comercios y transacciones
El supuesto robo va más allá de los perfiles de clientes. El conjunto de datos supuestamente incluye información de 549 empleados, con datos de identidad nacional, salarios, afiliaciones religiosas y números de contacto para emergencias. Otras acusaciones mencionan registros de acceso administrativo, lugares de entrega y recorridos de los conductores.
Las acusaciones financieras incluyen 17.943 registros de cuentas bancarias de comercios y códigos de ruta bancaria, además de 845.872 registros de transacciones de débito directo. La información de ruta bancaria identifica la entidad o sucursal que interviene en un pago. Un registro de transacción documenta un pago, pero su presencia no demostraría por sí sola que un atacante pudiera transferir dinero.
Estas cifras corresponden a distintos tipos de registros, no a un único total que pueda sumarse para determinar el número de víctimas. Los datos de empleados, las cuentas de comercios y las transacciones repetidas podrían coincidir con otras entradas del supuesto conjunto de datos.
Md. Foyej, gerente de Alianzas y Relaciones Públicas de Pathao, dijo que la empresa no había verificado las acusaciones sobre categorías sensibles. En una respuesta por correo electrónico, afirmó:
«Las acusaciones sobre documentos nacionales de identidad, permisos de conducir, datos de ubicación, domicilios o información financiera no se han verificado hasta el momento. Cualquier otra información que se confirme se comunicará a través de los canales oficiales de Pathao».
La exigencia de rescate no está confirmada
La supuesta publicación del grupo delictivo exigía 400.000 USDT, una suma que los informes describen como equivalente a unos 400.000 dólares. USDT, también conocido como Tether, es una criptomoneda diseñada para seguir el valor del dólar estadounidense. Según los informes, el grupo dio a Pathao 24 horas para pagar y amenazó con divulgar la información por etapas.
Las supuestas divulgaciones incluirían información de identificación, bancaria, de empleados y administrativa. No fue posible verificar de forma independiente la acusación ni el plazo. Los informes no permiten establecer cuándo empezó el plazo, si se tomó una decisión sobre el pago o si se divulgó posteriormente información.
Foyej, en representación de Pathao, se negó a confirmar la supuesta exigencia:
«Pathao no desea hacer comentarios sobre afirmaciones no verificadas relativas a exigencias de rescate».
La amenaza de publicar información robada es una forma de extorsión mediante datos. No significa necesariamente que los atacantes cifraran los sistemas o impidieran que la empresa accediera a sus propios archivos. Pathao no ha divulgado pruebas de cifrado ni explicado el mecanismo técnico que provocó la interrupción.
Qué dice Pathao que ha hecho
La respuesta anunciada por Pathao tiene tres elementos principales: desconectar sistemas críticos, recurrir a especialistas externos en ciberseguridad y notificar a las autoridades competentes. La empresa dijo que había notificado a organismos policiales o gubernamentales conforme a las normas aplicables, pero no identificó a las entidades ni las disposiciones legales concretas.
En su comunicado público, Pathao describió la respuesta inmediata y la función de los especialistas:
«Se adoptaron medidas inmediatas de contención y se contrató a expertos externos en ciberseguridad para reforzar los controles de seguridad y contribuir a garantizar que los sistemas de Pathao sigan siendo seguros y estables».
La empresa dijo que cooperaba con las autoridades mientras continuaba la investigación. Se disculpó ante usuarios, conductores, comercios y socios por el incidente y las interrupciones, y reconoció su responsabilidad de proteger la información que se le confía.
Foyej también dijo que algunas medidas preventivas podrían haber cerrado automáticamente la sesión de ciertos usuarios. Esos usuarios podían volver a iniciar sesión para utilizar el servicio. El cierre automático de sesión no demuestra por sí solo que se hayan robado los datos de una persona en particular.
Por qué los datos de contacto también pueden generar riesgos
La exposición confirmada de nombres, direcciones de correo electrónico y números de teléfono proporciona a los atacantes información que puede hacer más convincentes los contactos fraudulentos. Un mensaje que se dirige a alguien por su nombre y menciona un servicio que utiliza puede parecer más creíble que una solicitud anónima.
El phishing consiste en hacerse pasar por una organización o persona de confianza para persuadir a alguien de que revele información, siga un enlace malicioso o autorice una acción. Pathao advirtió sobre esta posibilidad, pero no dijo que ya se hubieran producido ataques de phishing o suplantación relacionados con la filtración.
El especialista en tecnologías de la información Suman Ahmed Sabir señaló el robo de identidad, el fraude bancario, el phishing, el chantaje y la vulneración de cuentas de redes sociales como posibles riesgos si se confirma que las acusaciones más amplias son ciertas. Su evaluación se refiere a posibles consecuencias, no a delitos confirmados contra usuarios de Pathao.
El tipo de información expuesta modifica el nivel de riesgo. Los datos de contacto pueden facilitar engaños dirigidos; los documentos de identidad pueden servir para intentar suplantar a alguien; y los datos de ubicación y de recorridos pueden revelar desplazamientos privados. Los tokens de acceso pueden poner en riesgo la seguridad de las cuentas, según los permisos que tengan y si siguen vigentes. Pathao no ha confirmado la exposición de esas categorías más sensibles.
Qué se ha recomendado a los usuarios
La principal recomendación de Pathao es actuar con cautela ante mensajes, llamadas y enlaces inesperados de personas que afirmen representar a la empresa. Ha pedido a los usuarios que no compartan contraseñas, códigos PIN ni contraseñas de un solo uso en respuesta a esas comunicaciones.
Una OTP es un código temporal que se utiliza para aprobar un inicio de sesión o una transacción. Compartirlo puede permitir que otra persona complete la acción que protege, aunque no conozca la contraseña habitual de la cuenta.
La empresa recomendó consultar sus canales oficiales para recibir información verificada. Entre los consejos de seguridad difundidos en relación con el incidente también se incluyó evitar enlaces desconocidos y activar la autenticación en dos pasos en Facebook y otras cuentas. Esta añade un segundo paso de verificación, además de la contraseña.
Estas precauciones ayudan a prevenir el posible uso indebido de la información sin dar por ciertas todas las acusaciones. No hay cifras confirmadas de cuentas de Facebook vulneradas, transacciones fraudulentas o casos de robo de identidad relacionados con este incidente.
Qué aún debe determinar la investigación
El especialista en ciberseguridad Tanvir Hassan Zoha recomendó una investigación forense digital independiente, preservar los servidores pertinentes y los registros de acceso, y notificar a los organismos reguladores y a las autoridades policiales conforme a la legislación aplicable. La informática forense utiliza pruebas técnicas para reconstruir lo sucedido, incluidos los sistemas a los que se accedió y las acciones realizadas.
Preservar los registros es importante porque pueden ayudar a determinar el método de acceso, el periodo de acceso no autorizado y los datos a los que llegó un atacante. Pathao anunció que cuenta con especialistas externos, pero no ha dicho si su trabajo consiste en una investigación forense independiente ni ha publicado sus conclusiones.
Sabir también sostuvo que la supervisión de la ciberseguridad en Bangladesh afronta limitaciones de personal y recursos, incluso en las instituciones responsables de responder a incidentes. Propuso establecer un marco legal para indemnizar a los clientes que sufran pérdidas. Se trata de sus evaluaciones y recomendaciones, no de conclusiones de una autoridad que investigue a Pathao.
Las preguntas pendientes más inmediatas son concretas: cuántos usuarios se vieron afectados, qué categorías de información se obtuvieron, si quedaron expuestos registros de ambos países y si son auténticas las supuestas credenciales financieras o de cuentas. Pathao no ha anunciado una fecha para concluir la investigación, publicar sus conclusiones o emitir una nueva actualización.
La promesa de la empresa de comunicar la información que se verifique deja una distinción que los usuarios deben tener presente. Se ha confirmado el robo de algunos datos personales. No se ha confirmado la existencia de un conjunto de datos de 133 gigabytes con más de 19 millones de cuentas, numerosos documentos de identidad e información financiera.
Puntos clave
- Pathao confirmó que unos atacantes obtuvieron algunos nombres, direcciones de correo electrónico y números de teléfono durante el incidente del 4 de octubre.
- Las operaciones en Bangladesh y Nepal se interrumpieron, y algunos usuarios podrían experimentar problemas intermitentes mientras se estabilizan los sistemas.
- Las acusaciones sobre 133 gigabytes, 19.063.918 cuentas y aproximadamente 250 millones de filas de bases de datos no están verificadas.
- Pathao no ha confirmado la supuesta exposición de contraseñas, documentos de identidad, datos de ubicación o información financiera.
- La empresa no ha verificado una supuesta exigencia de 400.000 USDT con un plazo de 24 horas.
- Participan especialistas externos en ciberseguridad, se ha notificado a las autoridades competentes y no se ha anunciado una fecha para concluir la investigación.
- Se ha advertido a los usuarios sobre contactos no solicitados y se les ha indicado que nunca compartan contraseñas, códigos PIN ni OTP.
