La bóveda de contraseñas de IHG estaba abierta a 200.000 empleados tras una contraseña débil: los hackers borraron datos

Un lunes de septiembre de 2022, los clientes de IHG, propietaria de Holiday Inn, Crowne Plaza y Regent, con unos 6.000 hoteles en todo el mundo, reportaron problemas generalizados con las reservas y el registro. Durante 24 horas la empresa respondió a las quejas en redes sociales alegando «mantenimiento del sistema». El martes por la tarde comunicó a la Bolsa de Londres que había sido hackeada y que los canales de reserva y otras aplicaciones se habían visto significativamente interrumpidos.

Los atacantes, que se hacían llamar TeaPea y dijeron ser una pareja en Vietnam, contaron a la BBC que en un principio habían planeado un ataque de ransomware, pero que el equipo de TI de IHG seguía aislando servidores antes de que pudieran desplegarlo, por lo que ejecutaron en su lugar un ataque de borrado que destruye los datos de forma irreversible. Dijeron que entraron engañando a un empleado para que abriera un archivo adjunto malicioso de un correo electrónico y eludiendo una solicitud de doble factor, y que después encontraron los datos de inicio de sesión de la bóveda de contraseñas interna de IHG. La BBC informó que, según su relato, las credenciales de la bóveda eran visibles para los 200.000 empleados y la contraseña era «Qwerty1234».

IHG confirmó que las capturas de pantalla facilitadas por los hackers eran auténticas. Discrepó de que los datos de la bóveda fueran inseguros, afirmando que el atacante tuvo que evadir «múltiples capas de seguridad» y que utiliza un enfoque de defensa en profundidad.

Los canales de reserva y otras aplicaciones quedaron «significativamente interrumpidos» durante días; IHG comunicó a los inversores que había sido hackeada; no se dio ninguna cifra de coste

Según los hackers, el nombre de usuario y la contraseña de la bóveda estaban disponibles para los 200.000 empleados, por lo que una sola cuenta comprometida abrió los sistemas más sensibles.

Los hackers dijeron que la contraseña de la bóveda era Qwerty1234, una contraseña de patrón de teclado de uso común.

Según los informes, un archivo adjunto malicioso junto con una solicitud de segundo factor eludida proporcionaron el primer punto de acceso al dispositivo de un empleado.

El experto en seguridad Rik Ferguson dijo a la BBC que los datos sensibles deberían estar disponibles solo para quienes los necesitan, y que una contraseña compleja es tan insegura como una simple si queda expuesta.

Un perímetro fuerte falla si la bóveda que hay detrás es legible por todos y está protegida por una contraseña de patrón de teclado. El acceso debería limitarse a quienes lo necesitan, sea cual sea la contraseña.

IHG dijo que los sistemas de cara al cliente estaban volviendo a la normalidad, pero que los servicios podrían seguir siendo intermitentes. Los hackers dijeron que no se robaron datos de clientes, pero que tenían algunos datos corporativos, incluidos registros de correo electrónico. IHG no aceptó la descripción que los hackers hicieron de su seguridad, y el artículo de la BBC no ofrece ninguna cifra del coste financiero.