Daiwa Securities: violación de proveedor pudo exponer datos de 110.000 clientes
En breve
Daiwa Securities dijo el 5 de octubre que un servidor del proveedor externo Scalar Communications fue objeto de acceso no autorizado y que unos 220.000 registros podrían haberse filtrado, incluidos nombres, direcciones de correo electrónico y números de cuenta de valores de unos 110.000 clientes. La compañía dijo que no se confirmó que sus propios sistemas hayan sido vulnerados, que no se encontraron operaciones no autorizadas y que la información filtrada por sí sola no puede usarse para acceder a cuentas de valores ni operar. Daiwa ha comenzado a contactar individualmente a los clientes afectados y advirtió sobre llamadas y correos de phishing.
Leer la noticia completa 2 min de lectura
Daiwa Securities dijo el 5 de octubre que un servidor del proveedor externo Scalar Communications había sido objeto de acceso no autorizado y que la información de clientes almacenada en él podría haber sido obtenida indebidamente. Los nombres, direcciones de correo electrónico y números de cuenta de valores de unos 110.000 clientes podrían estar afectados; incluida la información de consultas que no identifica a personas, el total podría alcanzar unos 220.000 registros, dijo la empresa. La sede de Daiwa Securities Group anunció las mismas cifras. NHK News informó que la empresa dijo que no se habían confirmado transacciones no autorizadas en ese momento. [ 1 , 2 , 3 , 5 , 6 , 7 , 9 ]
El acceso no autorizado se produjo entre aproximadamente las 20:33 del 2 de octubre y las 08:01 del 3 de octubre, según la empresa y el proveedor. Scalar Communications, con sede en Shibuya, Tokio, presta el servicio que Daiwa utiliza para gestionar las consultas recibidas por internet, y su servidor contenía registros de consultas ya aceptadas, incluidos datos de clientes de Daiwa. ITmedia informó que, según Scalar, Daiwa fue notificada el 3 de octubre; se habían implementado medidas de seguridad de emergencia y en ese momento no se habían confirmado más accesos no autorizados ni filtraciones. [ 1 , 3 , 8 , 10 ]
Daiwa dijo que no se había confirmado ningún acceso no autorizado a sus propios sistemas. Dijo que la información que podría haberse filtrado no puede por sí sola usarse para acceder a cuentas de valores ni para realizar transacciones, incluida la negociación en línea. Al 5 de octubre, dijo que no había encontrado operaciones no autorizadas ni pruebas de que la información se hubiera publicado o difundido en línea. [ 1 , 2 , 3 , 6 , 9 , 10 , 26 ]
Daiwa planea contactar individualmente a los clientes afectados, y TBS NEWS DIG informó que había comenzado a identificar a los clientes y la notificación individual. La correduría advirtió que los nombres y los detalles de las consultas podrían usarse indebidamente en llamadas o correos fraudulentos haciéndose pasar por Daiwa, y pidió a los clientes que no abran enlaces ni archivos adjuntos en mensajes sospechosos ni revelen contraseñas, PIN ni contraseñas de un solo uso. ITmedia informó que Daiwa está revisando a sus contratistas y decidirá las medidas reforzadas de gestión de contratistas y su calendario después de confirmar la investigación de causas y las contramedidas de Scalar, y que divulgará puntualmente cualquier hecho nuevo. [ 1 , 3 , 10 , 14 ]
Nikkei informó que la divulgación movió el mercado. Las acciones de Daiwa Securities Group (código 8601) en el mercado Prime cotizaban a 1.725,50 yenes a las 13:45 del 5 de octubre, con una caída de 25,50 yenes, o un 1,45%, respecto del cierre de la semana anterior, con ventas de inversores a la espera de cómo evolucione la situación. El promedio Nikkei superó brevemente los 70.000, mientras que Nomura (8604) y otros se mantuvieron firmes en la tarde, informó Nikkei. [ 7 ]
Por qué importa
El incidente expone a Daiwa Securities a riesgo a través de un contratista externo en lugar de sus propios sistemas, y los documentos muestran que atrajo la atención de los inversores: Nikkei informó que las acciones del grupo cayeron en la negociación de la tarde del 5 de octubre. Daiwa ha dicho que revisará cómo gestiona a los contratistas una vez que Scalar Communications complete su investigación, por lo que las consecuencias inmediatas son esfuerzos de notificación a clientes y advertencias sobre phishing, más que un uso indebido confirmado de los datos.
Datos clave
- Daiwa Securities anunció el 5 de octubre que un servidor del proveedor externo Scalar Communications fue objeto de acceso no autorizado y que la información de clientes podría haber sido obtenida indebidamente. [ 1 , 2 , 5 , 6 , 7 , 8 , 9 , 10 , 26 ]
- El acceso no autorizado se produjo entre aproximadamente las 20:33 del 2 de octubre y las 08:01 del 3 de octubre. [ 1 , 3 , 8 , 10 ]
- Unos 220.000 registros podrían haberse filtrado, de los cuales unos 110.000 incluyen información personal como nombres, direcciones de correo electrónico y números de cuenta de valores. [ 1 , 2 , 4 , 6 , 8 , 9 , 10 , 14 , 17 , 26 ]
- Daiwa dijo que no se había confirmado ningún acceso no autorizado a sus propios sistemas. [ 1 , 3 , 10 , 26 ]
- Daiwa dijo que la información que podría haberse filtrado no puede por sí sola usarse para acceder a cuentas de valores ni para operar, incluida la negociación en línea. [ 1 , 2 , 3 , 6 , 9 , 10 , 26 ]
- Al 5 de octubre, Daiwa dijo que no se habían confirmado operaciones no autorizadas ni la publicación o difusión pública de la información en línea. [ 1 , 2 , 3 , 5 , 6 , 9 , 10 , 14 , 17 ]
- Daiwa ha comenzado a identificar a los clientes afectados y a contactarlos individualmente, y advirtió a los clientes sobre llamadas y correos fraudulentos que usan indebidamente nombres y datos de consultas. [ 1 , 3 , 10 , 14 ]
- Nikkei informó que las acciones de Daiwa Securities Group (código 8601) cotizaban a 1.725,50 yenes a las 13:45 del 5 de octubre, con una caída de 25,50 yenes, o un 1,45%, respecto del cierre de la semana anterior. [ 7 ]
Confirmado por varias fuentes
- Daiwa Securities anunció el 5 de octubre que un servidor del proveedor externo Scalar Communications fue objeto de acceso no autorizado y que la información de clientes podría haber sido obtenida indebidamente. [ 1 , 2 , 5 , 6 , 7 , 8 , 9 , 10 , 26 ]
- El acceso no autorizado se produjo entre aproximadamente las 20:33 del 2 de octubre y las 08:01 del 3 de octubre. [ 1 , 3 , 8 , 10 ]
- Unos 220.000 registros podrían haberse filtrado, incluidos unos 110.000 que contienen información personal como nombres, direcciones de correo electrónico y números de cuenta de valores. [ 1 , 2 , 4 , 6 , 8 , 9 , 10 , 14 , 17 , 26 ]
- Daiwa dijo que no se había confirmado ningún acceso no autorizado a sus propios sistemas y que la información filtrada por sí sola no puede usarse para acceder a cuentas de valores ni realizar operaciones. [ 1 , 2 , 3 , 6 , 9 , 10 , 26 ]
- Daiwa dijo que, al 5 de octubre, no se habían confirmado operaciones no autorizadas ni la publicación o difusión pública de la información en línea. [ 1 , 2 , 3 , 5 , 6 , 9 , 10 , 14 , 17 ]
- NHK News, un medio oficial, informó que la información personal de unos 110.000 clientes podría haberse filtrado y que no se habían confirmado transacciones indebidas. [ 5 ]
Aún sin aclarar
- Si la información fue realmente sustraída o solo podría haber sido sustraída. Los documentos describen una posible filtración y dicen que no se ha confirmado un uso indebido, pero no afirman que se haya descartado la exfiltración.
- Quién llevó a cabo el acceso no autorizado y cómo. Ningún documento identifica a un atacante, un método ni un motivo.
- El número exacto de personas afectadas. Los medios citan unos 220.000 registros, incluida información de consultas no identificativa, y unos 110.000 elementos de información personal, sin dar un número confirmado de personas.
- Si otras empresas también resultaron afectadas a través del mismo proveedor. El titular de Nikkei xTECH cita la frase “被害は当社以外も” (daños también fuera de nuestra empresa), pero el texto del artículo no dice qué otros clientes resultaron afectados.
- Cuándo se enteró Daiwa Securities del incidente. Solo ITmedia informa que la empresa fue notificada el 3 de octubre; otros medios no dan una fecha de notificación.
- Cuándo se decidirán las medidas reforzadas de gestión de contratistas. Solo ITmedia informa que Daiwa fijará las medidas y su calendario después de confirmar la investigación de causas y las contramedidas de Scalar Communications, sin dar una fecha.
Qué dicen los medios locales
Cronología, hora local
- Comienza el acceso no autorizado al servidor de Scalar Communications, según Daiwa Securities y Scalar Communications. [ 1 , 3 , 8 , 10 ]
- Termina el acceso no autorizado. [ 1 , 3 , 8 , 10 ]
- Daiwa Securities anuncia que la información de clientes podría haberse filtrado, según Nikkei. [ 7 ]
- Las acciones de Daiwa Securities Group (código 8601) cotizan a 1.725,50 yenes en el mercado Prime, con una caída de 25,50 yenes o un 1,45% respecto del cierre de la semana anterior, informa Nikkei. [ 7 ]
- TBS NEWS DIG informa que Daiwa ha comenzado a identificar a los clientes afectados y la notificación individual, sin que se hayan confirmado operaciones no autorizadas. [ 14 ]
- Nikkei xTECH informa la divulgación, diciendo en su titular que los daños en el proveedor se extienden más allá de Daiwa Securities. [ 26 ]