La red social Reddit confirmó que atacantes informáticos tuvieron acceso a datos de contacto del personal actual y anterior de la empresa, así como información de anunciantes, tras un ataque de phishing muy específico contra sus empleados, informó el sitio de noticias TechCrunch.
Aunque la compañía aseguró que por el momento no tiene evidencia de que información personal de usuarios u otros datos no públicos hayan sido robados, recomendó que todas las cuentas actualicen sus contraseñas y habiliten la autenticación multifactorial.
Sobre el ataque, Reddit indicó que todavía no se identifica a quiénes lo realizaron, pero que utilizaron “mensajes que sonaban plausibles” para engañar a personas empleadas de Reddit y redirigirles a un sitio web que aparentaba ser la intranet de la compañía, para poder obtener sus credenciales de acceso.
Los ataques fueron exitosos y los atacantes pudieron acceder a los sistemas internos de Reddit, lo que les permitió obtener documentos internos, ver el código fuente, algunos tableros internos y sistemas de administración; sin embargo, la compañía pudo cortarles acceso después de que alguien reportó el incidente de seguridad.
De acuerdo con Christopher Slowe, Oficial en Jefe de Tecnología de Reddit, ataques similares de phishing han sido reportados últimamente, como el reciente hackeo a la desarrolladora de videojuegos Riot Games, el cual fue realizado a través de ingeniería social.
La cantidad de información sobre las personas usuarias que almacenan las plataformas de redes sociales las hace objetivos muy atractivos y frecuentes para ataques informáticos. Por ejemplo, en julio de 2022 los datos de 5.4 millones de personas usuarias de Twitter fueron publicados de forma gratuita en un foro, mientras que en abril de 2021, una vulnerabilidad de Facebook fue abusada para sustraer los datos de 533 millones de personas usuarias.
La recomendación de habilitar la verificación de dos pasos es pertinente, ya que en numerosas ocasiones, el alcance real de estos ataques informáticos es revelado meses o años después. Aunque Reddit no ha confirmado que los datos de sus personas usuarias hayan sido comprometidos, esto podría cambiar en el transcurso de las semanas posteriores.
Imagen (CC BY) Gibrán Aquino
