E-01558-2020

1/6  Procedimiento Nº: E/01558/2020 940-0419 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: Las actuaciones de inspección se iniciaron como consecuencia de la recepción de un escrito de notificación de brecha de seguridad de datos personales remitido por VODAFONE ESPAÑA, S.A.U., en el que informan a la Agencia Española de Protección de Datos que un atacante externo causó un gran volumen de solicitudes a la AppWeb “MiVodafone ES”. Indican que el análisis realizado determinó que el tráfico consistía en solicitudes de combinación de nombre de usuario y contraseña de clientes de Vodafone en la plataforma de MiVodafone ES, mediante el ataque denominado Credential Stuffing, en el que se intenta obtener acceso no autorizado a las cuentas de los usuarios mediante solicitudes de login masivas. Han utilizado una API (APIXOAUTH2PASSWORD) que valida si las credenciales existen. Indican que dado que la tasa de fallos en los intentos de acceso a las cuentas fue muy alta, la hipótesis principal es que las cuentas se obtuvieron de una brecha externa y sin relación directa con Vodafone. Manifiestan que la brecha se produjo el 05/02/2020 y que se solucionó ese mismo día. Categoría de datos afectados: credenciales de acceso o identificación. Indican que están analizando si el atacante ha podido tener acceso a información de las cuentas de los usuarios afectados. El atacante pudo acceder a 3.984 cuentas de clientes de Vodafone. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Fecha de notificación de la brecha de seguridad de datos personales: 08/02/2020 ENTIDADES INVESTIGADAS VODAFONE ESPAÑA, S.A.U. (en adelante Vodafone), con NIF A80907397 con domicilio en AVDA. DE AMERICA 115 - 28042 MADRID (MADRID) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/6 RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN Solicitada información a Vodafone de la respuesta recibida se desprende lo siguiente: Respecto de la brecha y sus causas Los representantes de Vodafone han manifestado que: “A finales de diciembre, AppWeb MiVodafone experimentó un ataque credential stuffing, tal y como se puede comprobar con la evidencia aportada al requerimiento 1 del presente escrito. Esta actividad fue detectada como resultado del alto volumen de peticiones producidas (2,4 Millones de peticiones/dia). Todas estas peticiones usaban el mismo "Transaction ID" y las mismas se producían mayoritariamente desde 2 rangos de IP que fueron bloqueados, aunque posteriormente se diversificó el número de IPS utilizadas hasta las 58.567. El 5 de febrero, nuestros análisis concluyen que el atacante utilizó la API pública de validación de usuarios de AppWeb MiVodafone para validar si algunas de las credenciales existían en la plataforma. De estos intentos, tenemos constancia de que 3984 cuentas le devolvieron un resultado satisfactorio al atacante. Las contraseñas de las cuentas afectadas fueron reseteadas y se implementaron contramedidas, indicadas en el punto 4 del presente escrito, que anularon por completo la efectividad del ataque.” … “Las credenciales de usuario utilizadas por el atacante no tienen su origen en una filtración de datos producida en Vodafone España. Nuestro equipo de Threat Intelligence ha identificado que las credenciales empleadas en el ataque han sido obtenidas a través de filtraciones producidas en sitios de Internet, aunque no se ha podido determinar de forma univoca el origen concreto. El conjunto de credenciales empleadas por el atacante no contenía solamente información de usuarios registrados en AppWeb MiVodafone sino que estos formaban parte de grandes bases de datos extraídas de internet, con millones de pares dirección de correo/contraseña, la inmensa mayoría de ellas, no usuarios del servicio MiVodafone. El método empleado por el atacante consiste en, haciendo uso de múltiples IPS de origen (proxy anónimos) y del conjuntos de credenciales extraídas de internet, hacer un intento de usuario y contraseña por cada registro contra la AppWeb MiVodafone, Al principio del ataque con una cadencia muy lenta, e incrementando súbitamente la misma al final de ataque, momento en el que este tipo de ataque se hace detectable. Un pequeño porcentaje de las credenciales intentadas, producen una validación correcta, por la razón de que algunos usuarios utilizan el mismo conjunto de credenciales en distintos portales online. Este hecho permitió al atacante la validación positiva (login correcto) de 3984 cuentas de AppWeb MiVodafone.” … “El porcentaje de intentos de acceso fallidos a la AppWeb MiVodafone (m.Vodafone.es), tanto de usuarios incorrecto como de contraseña incorrecta, es del 99,97% del total de intentos recibidos. El atacante disponía de un conjunto aproximado de 12 millones de registros de los cuales logró validar 3984 cuentas.” Aportan como evidencias un soporte físico indicando que contiene un fichero con todas las cuentas empleadas por el atacante así como una extracción en bruto del gestor de logs que monitoriza las acciones realizadas contra los servidores de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/6 AppWeb MiVodafone. Indican que “los resultados que se muestran en la tabla, se corresponden con el total de llamadas efectuadas con el Transaction ID utilizado por el atacante. Las llamadas satisfactorias corresponden con el status-code 200.” Se ha verificado que el soporte físico aportado por Vodafone contiene un fichero de 394.036 KB, de formato csv (valores separados por comas), con un total de 12.529.006 líneas (12.529.005 registros, más una línea de cabecera). Se ha verificado que la mayoría de los registros (12.510.305) contienen el código de estado de respuesta HTTP 401 (no autorizado), que indica que la petición no ha sido ejecutada porque carece de credenciales válidas de autenticación. Se ha verificado que 3.526 registros incluyen el código de estado de respuesta HTTP 200 (OK) o respuesta satisfactoria. Otros registros contienen otros códigos de respuesta HTTP, como el 403 (acceso prohibido). Tipología de los datos accedidos. Datos del cliente: credenciales de acceso del cliente. Como consecuencia de ello, se podría haber accedido a los datos consultables desde la AppWeb MiVodafone con la cuenta del cliente, que no se ha podido acreditar. Con la AppWeb el usuario puede gestionar sus productos y servicios, llevando a cabo opciones como cambiar la clave de acceso, consultar datos básicos y facturas, cambiar datos bancarios, recargar línea prepago, consultar zonas de roaming, configurar Vodafone TV, etc. Utilizaciones posteriores detectadas de los datos accedidos. A raíz de las investigaciones posteriores realizadas por Vodafone, sus equipos de monitorización locales y de global detectaron actividades anormales en las activaciones de servicios de valor añadido, en este caso, cuentas de Netflix. De las investigaciones llevadas a cabo sobre las activaciones, creen que existe la probabilidad de que un porcentaje se haya producido por el atacante. Dadas las sospechas, se ha procedido a la suspensión de dichas cuentas con el fin de evitar cualquier tipo de fraude que se pudiese llevarse a cabo. Medidas de minimización del impacto de la brecha Todas las cuentas comprometidas han sido reiniciadas (5 febrero). Notificación vía SMS a todos los clientes afectados. Recomendación de revisión de contraseñas usadas en otros portales (8 febrero). Bloqueo de todas las cuentas de Netflix potencialmente fraudulentas (6 marzo). Notificación de la brecha de seguridad a los afectados (9 marzo). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/6 Respecto de las medidas de seguridad implantadas con anterioridad la brecha Aportan copia del proceso relativo al tratamiento de datos comprometido que se extrae del Registro de actividades de tratamiento de Vodafone. Indican que el Registro de Actividades de tratamiento de la entidad se sustenta en la herramienta “OneTrust”, aportando el documento que la propia herramienta extrae. Aportan pantallazos del proceso de tratamiento específico de la AppWeb MiVodafone con la información completa disponible. Aportan copia de la Evaluación de Impacto sobre la privacidad realizada sobre el producto AppWeb MiVodafone, realizada con anterioridad a la brecha de seguridad. Los representantes de Vodafone aportan también el detalle de las medidas de seguridad implementadas con anterioridad a la brecha aplicables a la misma e información sobre algunas modificaciones de dichas medidas con posterioridad a los hechos. También aportan la descripción de otras medidas de refuerzo, como la instalación de módulos para credential stuffing, captcha, comienzo del desarrollo de una solución de doble factor de autenticación, el incremento de las reglas de monitorización y alertas implementadas, y la revisión de la monitorización de la reputación de las IP. Respecto de las acciones tomadas para la resolución final de la brecha La incidencia no se encuentra totalmente cerrada por parte de Vodafone. Se han ejecutado acciones que han bloqueado los intentos de acceso, algunas ya comentadas:  Bloqueo selectivo de rangos de IP.  Contestación de "contraseña incorrecta" para el “Transaction ID" usado por el atacante, independiente de que el par usuario contraseña fuera válido o no.  Implementación de una solución de específica para este tipo de ataques en el inicio de sesión.  Modificación regla WAF para reducir el número de peticiones.  Restricción de direcciones IP de acceso. FUNDAMENTOS DE DERECHO I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/6 II En el presente caso, de los antecedentes arriba indicados, consta acreditado que el acceso fraudulento a las cuentas de usuario (clientes de Vodafone) tuvo su origen en un ataque exterior a través de intentos masivos de acceso utilizando credenciales obtenidas por otras vías ajenas a Vodafone. No obstante, se obtuvieron 3984 accesos fraudulentos a los datos personales de los clientes tras 12 millones de intentos rechazados por el propio sistema de información de Vodafone. Al respecto se debe señalar que de las actuaciones de investigación llevadas a cabo por esta AEPD constaban implantadas en el sistema de información de Vodafone medias de seguridad proporcionales al riesgo evaluado. Se debe añadir, que consta que Vodafone una vez detectado el ataque a su sistema de información, actuó con la diligencia debida minimizando el impacto e implementando las oportunas medidas correctoras para evitar la repetición de hechos similares. En consecuencia, Vodafone, implantó al día siguiente de detectar la brecha de seguridad de datos personales nuevos protocolos en la actividad digital con sus clientes a fin de evitar este tipo de vulnerabilidades y que dada la complejidad del método indirecto usado por el atacante se ha visto afectada. Asimismo, consta que Vodafone ha retrotraído todas las actuaciones fraudulentas efectuadas contra sus clientes. La realización de un informe final tras el seguimiento y cierre sobre la brecha y su impacto es una valiosa fuente de información con la que debe alimentarse el análisis y la gestión de riesgos futuros. III Por lo tanto, la actuación de Vodafone como entidad responsable del tratamiento de los datos de sus clientes, ha sido acorde y proporcional con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución a VODAFONE ESPAÑA, S.A.U., con NIF A80907397 con domicilio en AVDA. DE AMERICA 115 - 28042 MADRID (MADRID) De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/6 Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es