La semana en brechas de seguridad 22 de octubre de 2025

Según se ha informado, Volkswagen, uno de los mayores fabricantes de automóviles del mundo, ha sido víctima del grupo de ransomware 8Base.

El grupo afirmó públicamente en septiembre de 2024 que había irrumpido en los sistemas de Volkswagen. Conocido por utilizar el ransomware Phobos y por emplear tácticas de doble extorsión, 8Base afirmó haber sustraído archivos confidenciales el 23 de septiembre de 2024, amenazando con filtrarlos antes del 26 de septiembre. Aunque no aparecieron datos inmediatamente después de que venciera el plazo, el grupo publicó posteriormente en su sitio web de la dark web la información supuestamente sustraída, entre la que se incluían facturas, registros contables, expedientes de empleados, contratos, certificados y múltiples acuerdos de confidencialidad.

Aunque Volkswagen sostiene que su infraestructura informática principal no se ha visto afectada, la escasa respuesta ha suscitado dudas sobre el alcance total del incidente y sobre si algún sistema de terceros podría haberse visto comprometido.

Vocus, la cuarta mayor empresa de telecomunicaciones de Australia, ha anunciado que 1.600 clientes de Internet doméstico y telefonía móvil se han visto afectados por un ataque informático dirigido a sus servicios de correo electrónico empresarial y de telefonía móvil.

El 17 de octubre, la empresa —propietaria de Dodo e iPrimus— detectó actividad sospechosa en su sistema de correo electrónico. Una investigación reveló que se había producido un acceso no autorizado a aproximadamente 1.600 cuentas de correo electrónico, lo que provocó la sustitución de tarjetas SIM en 34 cuentas de Dodo Mobile. Como respuesta, Vocus suspendió temporalmente determinados servicios para contener el problema e iniciar las labores de recuperación.

Vocus ha afirmado que sigue vigilando de cerca la situación y que ha colaborado con los clientes afectados para revertir los cambios de tarjeta SIM y restablecer sus servicios.

Sotheby's, la casa de subastas de artículos de lujo con sede en la ciudad de Nueva York, reveló un ciberataque ocurrido en julio en una notificación de filtración de datos presentada ante la Fiscalía General de Maine (AGO).

La casa de subastas de lujo afirmó que descubrió la filtración en septiembre. Durante la investigación, Sotheby's determinó que el atacante había accedido a archivos que contenían datos personales, entre ellos nombres, números de la Seguridad Social y datos de cuentas bancarias. La empresa aún no ha confirmado cuántas personas se vieron afectadas por el incidente.

Mango, la cadena de moda con sede en España, ha informado a sus clientes de una filtración de datos que afecta a uno de sus proveedores externos de marketing.

El 14 de octubre, la empresa informó de que unos piratas informáticos habían accedido a datos personales de los clientes durante una filtración de datos de un tercero. La información filtrada incluye nombres, país, código postal, direcciones de correo electrónico y números de teléfono. Mango aclaró que en el ataque no se vieron comprometidos datos financieros o de identificación sensibles, como números de tarjetas de crédito, datos bancarios o credenciales de acceso.

La filtración se originó en un proveedor externo de servicios de marketing con sede en España que gestionaba los datos de los clientes con fines promocionales. Este incidente se suma a una lista cada vez mayor de ciberataques dirigidos contra minoristas españoles. A principios de este año, El Corte Inglés y Tendam también sufrieron filtraciones similares.

La Oficina del Comisionado de Información del Reino Unido (ICO) ha impuesto una multa de 14 millones de libras esterlinas al gigante de la externalización Capita, tras el robo de los datos personales de 6,6 millones de personas en un ciberataque.

Aunque la filtración se produjo en marzo de 2023, más tarde se reveló que Capita también había dejado un repositorio de archivos sin proteger en Internet, lo que expuso los datos de clientes pertenecientes a más de 90 organizaciones. La ICO señaló que Capita «no garantizó la seguridad del tratamiento de los datos personales», lo que los expuso a un riesgo significativo. La multa inicial de 45 millones de libras esterlinas se redujo tras las conversaciones entre Capita y el organismo regulador.