Resumen
Se ha detectado una alerta de ransomware relacionada con el grupo Aurora, vinculado al evento "Cheval Blanc Randheli". Este incidente involucra la exposición de datos sensibles, específicamente imágenes de pasaportes de 75.855 registros almacenados entre enero de 2015 y octubre de 2024. Los archivos, organizados en carpetas diarias dentro de directorios anuales, contienen información personal completa de usuarios, incluyendo nombres, fechas de nacimiento, nacionalidad y números de pasaportes.
Detalles de la Alerta
El incidente se reportó el 22 de abril de 2026, con evidencia de una brecha de seguridad que permitió el acceso no autorizado a un almacenamiento centralizado. Los datos afectados incluyen imágenes de pasaportes digitales, con el área de lectura mecánica (MRZ) y la firma del titular. Se estima que los registros corresponden a entre 20.000 y 30.000 individuos únicos, con un enfoque particular en miembros de la realeza qatarí.
El Grupo Detras del Ataque
El grupo Aurora es conocido por su actividad criminosa en el sector financiero y logístico. Se cree que pertenece a una red internacional de ciberdelincuencia, con objetivos de extorsión y robo de datos sensibles. En este caso, la exposición de pasaportes sugiere un ataque con fines comerciales o políticos, potencialmente para obtener información privilegiada o usarla como herramienta de coerción.
Datos Expuestos
Los datos expuestos incluyen:
- 75.855 imágenes de pasaportes, organizadas por días en directorios anuales y mensuales.
- Información biométrica y personal: foto, nombre completo, fecha de nacimiento, nacionalidad, número de pasaporte y firma.
- 9 registros de miembros de la realeza qatarí, con posibles implicaciones de acceso a información sensible.
- Periodo de almacenamiento: 10 años (enero 2015 – octubre 2024).
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso públicos disponibles.
Recomendaciones
Las organizaciones deben:
- Revocar credenciales de cuentas asociadas a sistemas que alberguen datos sensibles.
- Monitorear actividades anómalas en redes internas y plataformas de almacenamiento.
- Notificar a autoridades competentes para investigar el origen del ataque y mitigar riesgos legales.
- Revisar políticas de seguridad para prevenir futuras exposiciones de información personal.