Policía holandesa identifica indicios de hackers locales en filtración masiva de Odido

Qué pasó

La Policía Nacional neerlandesa (Politie) informó el jueves que ha reunido "indicios firmes" de que los responsables de la filtración de datos registrada en el operador Odido en febrero corresponden a hackers locales. Según el comunicado oficial, los investigadores identificaron una llamada al servicio de atención al cliente en la que un hombre de habla holandesa se hizo pasar por un empleado del área de tecnología. A partir de esa suplantación, los atacantes engañaron a la empresa mediante una campaña de phishing y ejecutaron el robo masivo de información.

Stan Duijf, jefe de operaciones de la Unidad Nacional de Investigación e Intervención, sostuvo que este tipo de pesquisas suelen ser complejas y prolongadas, pero que los cibercriminales también dejan rastros. La policía descartó entregar mayores detalles para no comprometer el proceso.

Odido, una de las mayores compañías de telecomunicaciones de los Países Bajos, presta servicios de telefonía móvil, banda ancha y televisión a millones de usuarios. La empresa reveló la brecha el 12 de febrero, indicando que los atacantes accedieron a su sistema de contacto el 7 de febrero y descargaron datos personales de un volumen significativo de clientes. El incidente afectó a 6,2 millones de usuarios y los autores contactaron a la firma para afirmar que habían sustraído millones de registros.

La información expuesta varía según el usuario e incluye combinaciones de nombre completo, dirección, número de móvil, número de cliente, correo electrónico, código IBAN, fecha de nacimiento y datos de identificación como pasaporte o licencia de conducir. La compañía descartó la filtración de registros de llamadas, ubicación, facturación, escaneos de documentos de identidad o contraseñas de la plataforma Mijn Odido.

El grupo de extorsión ShinyHunters reclamó la autoría en su sitio de filtraciones en la dark web, donde publicó un archivo de 88 gigabytes con más de 15 millones de registros, incluidos datos ya confirmados como expuestos por la propia empresa.

Contexto

ShinyHunters se ha consolidado en los últimos años como uno de los grupos de cibercrimen más activos a nivel global, especializado en campañas de suplantación telefónica o vishing dirigidas a cuentas de inicio de sesión único (SSO) de plataformas como Okta, Microsoft y Google. Su metodología se basa en hacerse pasar por personal de soporte tecnológico para engañar a empleados corporativos y capturar credenciales y códigos de autenticación multifactor en sitios falsos.

Con las credenciales obtenidas, los atacantes extraen información desde aplicaciones corporativas conectadas, entre ellas Microsoft 365, Google Workspace, Salesforce, SAP, Slack, Zendesk, Dropbox, Adobe y Atlassian. El grupo ha sido vinculado a un número creciente de filtraciones internacionales, lo que refleja un cambio de tendencia en el sector: el factor humano en los centros de soporte se ha transformado en uno de los eslabones más explotados por las organizaciones criminales.

El caso Odido se inscribe en una oleada más amplia de ataques a operadores de telecomunicaciones, un sector que maneja volúmenes elevados de datos personales sensibles y que resulta especialmente atractivo para los grupos dedicados a la extorsión y la venta de bases de datos en mercados secundarios.

Impacto para empresas chilenas

El caso resulta relevante para las empresas chilenas, particularmente para aquellas que operan centros de atención al cliente o áreas de soporte tecnológico con personal hispanohablante. La confirmación de que los atacantes hablaban holandés no debe interpretarse como un factor limitante: los grupos de cibercrimen suelen adaptar sus campañas al idioma del país objetivo, por lo que no se descarta la posibilidad de acciones similares dirigidas a firmas nacionales.

Para las pymes locales, la lección principal radica en reforzar los protocolos de verificación en los canales de soporte. Procedimientos simples, como requerir identificaciones adicionales para acciones vinculadas a cuentas o contraseñas, pueden neutralizar buena parte de los intentos de suplantación telefónica. Este tipo de controles resulta crítico en sectores como telecomunicaciones, banca, salud y retail, donde el volumen de datos sensibles manejados es elevado.

La legislación chilena sobre protección de datos personales, actualmente en proceso de modernización, también se verá tensionada por incidentes de esta naturaleza. Las empresas que operan en el país deberán revisar sus planes de respuesta ante incidentes para cumplir con las exigencias regulatorias y mitigar eventuales sanciones administrativas y costos reputacionales asociados a una filtración masiva.

Qué sigue

La investigación neerlandesa podría arrojar identificaciones concretas y eventuales imputaciones en los próximos meses, a medida que avancen las pericias técnicas y los análisis forenses. Mientras tanto, Odido enfrentará un proceso de evaluación por parte de las autoridades europeas de protección de datos, con potenciales multas significativas y exigencias de refuerzo en sus sistemas de seguridad.

A nivel sectorial, el caso confirma que la ingeniería social aplicada a los centros de soporte se mantiene como una de las principales vías de ingreso para los grupos de extorsión, lo que obligará a empresas de todo tamaño, incluidas las chilenas, a reforzar la capacitación de su personal y los protocolos de verificación interna para anticipar campañas de similares características.