La semana en brechas de seguridad 10 de septiembre de 2025

El fabricante japonés de neumáticos Bridgestone ha confirmado que está investigando un ciberataque que ha interrumpido las operaciones en algunas de sus plantas de fabricación de Norteamérica.

El martes 2 de septiembre de 2025, se dieron a conocer noticias sobre un incidente de ciberseguridad que afectó a dos de las plantas de producción de BSA en el condado de Aiken, en Carolina del Sur. El miércoles, el problema se había extendido a la planta de fabricación de Bridgestone en Joliette, Quebec (Canadá).

La empresa afirmó que su equipo de respuesta rápida contuvo la intrusión en sus primeras fases, evitando así el robo de datos de los clientes o un compromiso más grave de la red. Bridgestone añadió que, aunque la empresa sufrió algunas interrupciones operativas, incluidos retrasos en la fabricación, las operaciones han vuelto a la normalidad.

Aunque se preguntó a Bridgestone si había un ransomware implicado, la empresa no respondió y, en el momento de redactar esta noticia, ningún grupo había reivindicado el ataque.

Unos investigadores de seguridad descubrieron un servidor sin proteger y mal configurado perteneciente a Navy Federal Credit Union (NFCU) que dejaba al descubierto 378 GB de archivos internos. El conjunto de datos incluía información operativa de Tableau, nombres de usuario internos, direcciones de correo electrónico, detalles sobre los roles de los usuarios y, posiblemente, contraseñas y claves cifradas.

No se han encontrado datos de clientes en texto sin cifrar, y no parece que la información de los socios de la NFCU se haya visto comprometida. Los archivos expuestos consistían, en su mayor parte, en libros de trabajo de Tableau y otros documentos internos.

Los investigadores comunicaron el hallazgo a la NFCU y la base de datos quedó protegida en cuestión de horas.

Jaguar Land Rover (JLR) ha suspendido la producción en varias plantas tras un ciberataque que se infiltró en sus sistemas informáticos internos; se prevé que las interrupciones se prolonguen hasta octubre. Se ha indicado a miles de trabajadores de las plantas de JLR en Halewood, Solihull y Wolverhampton (Reino Unido) que permanezcan en sus casas hasta que se resuelva el problema, aunque seguirán cobrando su salario. Estas interrupciones afectan también a las operaciones de JLR en Eslovaquia, Brasil y la India.

Aunque los concesionarios y los talleres siguen abiertos, los proveedores —entre los que se encuentran WHS Plastics, Evtec, OPmobility y SurTec— también se han visto afectados.

Un canal de Telegram vinculado a los grupos de hackers Scattered Spider, Lapsus$ y ShinyHunters ha publicado capturas de pantalla de lo que parecen ser los sistemas internos de JLR. Se sospecha que Scattered Spider, anteriormente relacionado con ataques contra M&S, Co-op y Harrods, está implicado en el asunto.

Cloudflare, Zscaler y Palo Alto Networks han confirmado esta semana que se han visto afectadas por una campaña de ciberataques que aprovechaba las integraciones con Salesloft Drift, una plataforma de inteligencia artificial conectada a los sistemas de Salesforce. La campaña, atribuida al actor malicioso UNC6395, se llevó a cabo entre el 8 y el 18 de agosto y podría haber afectado a más de 700 empresas.

Salesloft ha indicado que los atacantes utilizaron credenciales robadas para sustraer datos de clientes a través de su herramienta de chatbot Drift, adquirida el año pasado. Aunque Salesforce desconectó Salesloft como medida de precaución, la empresa ha señalado que no ha detectado indicios de actividad maliciosa dentro de la propia plataforma.

Cloudflare describió el incidente como un sofisticado ataque a la cadena de suministro dirigido a las integraciones entre empresas. La empresa encontró 104 tokens de API entre los datos robados, todos ellos ya sustituidos, y advirtió de que la información de los clientes compartida en los tickets de asistencia, incluidos los registros, los tokens o las contraseñas, debe considerarse comprometida.

Google ha advertido de que el alcance de la campaña va más allá de la integración entre Salesforce y Salesloft, y ha recomendado a todos los clientes de Salesloft Drift que consideren que los tokens de autenticación podrían estar comprometidos.

Se cree que este incidente no guarda relación con el ataque informático mediante una vulnerabilidad de Salesforce que ha afectado a muchas grandes empresas.

La cadena de tiendas de muebles Lovesac ha confirmado una filtración de datos tras detectar actividad sospechosa en su sistema interno de correo electrónico el 30 de mayo de 2025. La investigación reveló que una persona no autorizada accedió a la cuenta de correo electrónico de un empleado entre el 27 y el 30 de mayo de 2025, lo que provocó la exposición de datos confidenciales contenidos en los correos electrónicos y sus archivos adjuntos, entre los que se incluyen nombres y números de la Seguridad Social.

El grupo de ransomware RansomHub reivindicó la autoría del ataque, alegando que había robado 40 GB de datos de la empresa y amenazó con publicarlos en la dark web. Lovesac comenzó a notificar por correo a las personas afectadas el 4 de septiembre de 2025 y también denunció el incidente ante varias fiscalías generales estatales. La empresa no ha revelado cuántas personas se vieron afectadas, aunque la cifra podría ascender a varios miles.

Wealthsimple, un banco en línea y empresa de inversiones con sede en Toronto, ha revelado una brecha de ciberseguridad relacionada con un paquete de software de un proveedor externo que había sido objeto de un ataque. Wealthsimple ha informado de que la brecha se detectó el 30 de agosto de 2025. El incidente ha supuesto la exposición de información confidencial de los clientes, entre la que se incluyen números de la Seguridad Social, números de cuenta, datos de contacto, direcciones IP y fechas de nacimiento.

Menos del 1 % de los clientes de Wealthsimple se vieron afectados, y todos ellos fueron informados directamente. La empresa afirmó que la filtración se contuvo en cuestión de horas, que no se accedió a ningún fondo, que las contraseñas no se vieron comprometidas y que las cuentas siguen estando seguras.

Wealthsimple no ha revelado el nombre del proveedor implicado ni ha facilitado más detalles técnicos sobre la intrusión.