Reddington cree que todo el conjunto de datos de AT&T que supuestamente robó Binns fue eliminado porque el pirata y Binns almacenaron los datos en un servidor en la nube al que ambos podían acceder, y asegura que el hacker los eliminó de ese servidor.
El caso de Ticketmaster
AT&T es una de las más de 150 empresas a las que se cree que se robaron datos de cuentas Snowflake mal protegidas durante una oleada de piratería informática que se desarrolló a lo largo de abril y mayo. Se ha informado anteriormente de que las cuentas no estaban protegidas con autenticación multifactor, por lo que después de que los hackers obtuvieran los nombres de usuario y las contraseñas de las cuentas, y en algunos casos los tokens de autorización, pudieron acceder a las cuentas de almacenamiento de las empresas y desviar sus datos. Ticketmaster, la entidad bancaria Santander, LendingTree y Advance Auto Parts figuran entre las víctimas identificadas públicamente hasta la fecha.
Reddington ha facilitado una serie de negociaciones entre los piratas informáticos y las víctimas de las violaciones de cuentas de Snowflake. Señala que Binns le pidió que se pusiera en contacto con AT&T “para facilitar la recompra de los datos”, y que “dada la importancia de los datos” y el daño potencial, “me sentí en la obligación de asegurarme de que no vendía los datos a nadie más”.
Señala que la secuencia de acontecimientos indica que la cuenta Snowflake de Ticketmaster fue probablemente la primera vulnerada en la campaña, tras lo cual los hackers apuntaron a AT&T y otras.
“El análisis de las muestras de datos proporcionadas por otras víctimas indica que Ticketmaster fue la primera víctima”, explica a WIRED, “y a partir de ahí parece que los ciberdelincuentes se dieron cuenta de que podían atacar los dominios ‘snowflakecomputing.com‘ buscando credenciales robadas. No les llevó mucho tiempo recopilar una lista y escribir un script para atacar a todas las víctimas de Snowflake simultáneamente.”
Los datos robados a AT&T incluían metadatos de llamadas y mensajes de texto, pero no el contenido de las llamadas o mensajes ni los nombres de los propietarios de los teléfonos, según la presentación de AT&T ante la SEC. Reddington alega que Binns demostró la facilidad con que podía identificar a los propietarios de los números utilizando un programa de búsqueda inversa que identificaba por su nombre a los familiares, colegas y otras personas vinculadas a los números de teléfono que se comunicaban con ellos.
Los datos robados incluían los números de teléfono de “casi todos” los clientes de telefonía móvil de AT&T y los números de clientes de otros operadores de telefonía móvil que intercambiaron llamadas o mensajes con esos clientes de AT&T entre el 1 de mayo de 2022 y el 31 de octubre de 2022, así como el 2 de enero de 2023, según la empresa. También incluía los números de teléfono fijo que se comunicaron con los clientes de AT&T afectados durante ese período. Los datos incluían las fechas de la comunicación y la duración de las llamadas: “Para un subconjunto de los registros, también se incluyen uno o más números de identificación de sitios celulares asociados con las interacciones”, indicó la compañía en una entrada de blog. Los números de identificación de sitios de telefonía móvil revelan qué torres de telefonía móvil utiliza un teléfono y pueden utilizarse para identificar la ubicación general y los movimientos de un usuario.