(CNN) — Los datos de al menos 100.000 personas pudieron quedar expuestos por un ataque cibernético a contratistas del Departamento de Salud y Servicios Humanos de EE.UU., informó este jueves un funcionario de la agencia. Esto convierte al Departamento de Salud (HHS, por sus siglas en inglés) en la más reciente dependencia del gobierno de EE.UU. que resulta afectada por el ciberataque de gran alcance relacionado con hackers rusos.
El HHS notificó la filtración de datos al Congreso este martes y mantendrá informados a los legisladores a medida que avanza la investigación, según el funcionario. Las agencias están obligadas a reportar al Congreso este tipo de incidentes cuando comprometen la información personal de 100.000 o más personas.
“Aunque ningún sistema o red del HHS resultó afectado, los atacantes accedieron a los datos aprovechando la vulnerabilidad del software MOVEit Transfer que pertenece a terceros”, declaró el funcionario a CNN.
MOVEit es el popular software de transferencia de archivos que supuestos ciberdelincuentes rusos han explotado en las últimas semanas para comprometer los datos de decenas de empresas, escuelas y agencias gubernamentales en EE.UU. y en el mundo. La empresa estadounidense Progress Software, que fabrica MOVEit, publicó una actualización de seguridad para el software, pero los hackers llevaban ya varios días de ventaja accediendo a los sistemas.
CNN fue el primer medio en reportar que la vulnerabilidad de MOVEit había afectado a varias agencias estadounidenses, entre ellas el Departamento de Energía, la Oficina de Gestión de Personal y el Departamento de Agricultura.
Bloomberg News informó inicialmente el acceso a los datos del Departamento de Salud.
Los funcionarios federales han atribuido la campaña de ataques informáticos a un grupo de habla rusa conocido como CLOP. Por lo general, los hackers roban los datos de las víctimas en lugar de cifrar sus ordenadores con ransomware y utilizan la información para realizar peticiones de extorsión.
El impacto de CLOP en las agencias federales ha sido limitado, según las autoridades, pero en otros lugares han podido acceder a los datos personales de millones de estadounidenses. Los departamentos de vehículos a motor de Louisiana y Oregon, y el fondo público de pensiones de California fueron víctimas del robo de datos.
También siguen apareciendo agencias y compañías reconocidas que han sido víctimas del ciberataque.
Un portavoz de Siemens Energy declaró el martes a CNN que la empresa estaba “entre los objetivos” del ciberataque, pero que “no se comprometió ningún dato crítico y nuestras operaciones no se han visto afectadas.”
La Universidad de California en Los Ángeles sufrió el ataque a su plataforma MOVEit el 28 de mayo, según declaró un portavoz a CNN el martes. “Esto no es un incidente de ransomware”, dijo el portavoz. “No hay evidencia de ningún impacto en ningún otro sistema del campus”.
Se sabe que los hackers han exigido decenas de millones de dólares de rescate en ciberataques anteriores. Sin embargo, están publicando muchos de los datos robados con la vulnerabilidad de MOVEit en su sitio de extorsión de la dark-web, una señal de que algunos esfuerzos para extraer rescates han fracasado.
Algunas víctimas han pagado a los delincuentes, según declaró previamente a CNN Charles Carmakal, ejecutivo de Mandiant Consulting, una empresa propiedad de Google contratada por algunas víctimas para responder al ciberataque. No está claro cuántas de las víctimas han pagado a los hackers ni la cantidad de dinero que entregaron. Carmakal y otros han declinado hacer comentarios al respecto.
Ahora bien, incluso un puñado de víctimas con pagos elevados puede ser rentable y alimentar futuros ciberataques.
“Tenemos muchas investigaciones forenses activas relacionadas con esta vulnerabilidad que implican robo de datos y extorsión con peticiones de rescate inusualmente altas”, dijo a CNN Shane Sims, un exagente especial supervisor del FBI que ahora es CEO de la firma de ciberseguridad Kivu Consulting. “Las víctimas abarcan Estados Unidos y Reino Unido, e incluyen los sectores financiero, industrial, legal, sanitario y tecnológico”.