Edion: código malicioso pudo filtrar números de tarjeta y CVV

Qué datos podrían estar expuestos

El programa malicioso estaba integrado en la introducción de datos de pago para PC y funcionaba desde poco después de las 19:00 del 4 de noviembre. Las operaciones y los pagos desde smartphone no se vieron afectados. La cifra de 556 es el máximo de veces que se introdujeron datos de tarjeta nuevos en la pantalla de pago: número, fecha de caducidad, titular y código de seguridad.

Además, cuando se producían errores en la pantalla de pedido, los números de tarjeta y códigos de seguridad se registraban de forma excepcional en el log del sistema. Hasta cinco de esos registros podrían haberse filtrado.

La investigación también amplió el alcance del incidente original: podrían estar afectadas hasta 5.360 tarjetas regalo de Edion (número, PIN e historial de uso) y hasta 1.141 identificadores de usuario con sus contraseñas. Edion enviará correos a los afectados para pedirles que cambien la contraseña y aún estudia qué hará con las tarjetas regalo.

Contexto y próximos pasos

El primer informe señalaba que un atacante externo aprovechó una vulnerabilidad para acceder a parte de un servidor con los archivos de registro de la tienda online. Podrían haberse filtrado datos personales de hasta 4.131 personas y pedidos de hasta 9.554.

Para evitar más daños, Edion suspendió desde las 22:00 del 7 de noviembre su tienda online, su app oficial y Edion Smart App. No hay fecha para reabrir la tienda.