Blog

Feb 26, 2024

Luxottica confirma la violación de datos de 2021 después de que se filtraran en línea información de 70 millones

Luxottica ha confirmado que uno de sus socios sufrió una violación de datos en 2021 que expuso la información personal de 70 millones de clientes después de que este mes se publicara una base de datos gratuita sobre piratería.

Luxottica ha confirmado que uno de sus socios sufrió una violación de datos en 2021 que expuso la información personal de 70 millones de clientes después de que este mes se publicara una base de datos de forma gratuita en foros de piratería.

Luxottica es la empresa de gafas, gafas y monturas graduadas más grande del mundo, y propietaria de marcas populares como Ray-Ban, Oakley, Chanel, Prada, Versace, Dolce and Gabbana, Burberry, Giorgio Armani, Michael Kors y muchas otras. La empresa también opera Eyemed, una compañía de seguros de visión en Estados Unidos.

En noviembre de 2022, un miembro del ahora desaparecido foro de hackers “Breached” intentó vender lo que afirmó ser una base de datos de 2021 que contenía 300 millones de registros de información personal relacionada con clientes de Luxottica en Estados Unidos y Canadá.

Según el vendedor, la base de datos contenía información personal de los clientes, como direcciones de correo electrónico, nombre y apellido, direcciones y fecha de nacimiento.

El volcado se ofreció para una venta privada en ese momento en Breached, por lo que no estaba claro si los datos fueron robados en un nuevo ataque o durante dos ataques que afectaron a la empresa en 2020.

Luxottica sufrió una violación de datos en agosto de 2020 que expuso la información personal de 829.454 pacientes de EyeMed y Lenscrafters. Al mes siguiente, Luxottica volvió a sufrir un ataque, esta vez un ataque de ransomware que cerró las operaciones de la empresa en Italia y China.

Sin embargo, más recientemente, la base de datos se filtró en su totalidad de forma gratuita el 30 de abril y el 12 de mayo de 2023 en diferentes foros de piratería, lo que hizo que los datos fueran mucho más accesibles para los actores de amenazas.

Andrea Draghetti, investigador principal de la empresa italiana de ciberseguridad D3Lab, analizó los datos filtrados y confirmó a BleepingComputer que contienen 305 millones de líneas, 74,4 millones de direcciones de correo electrónico únicas y 2,6 millones de direcciones de correo electrónico de dominio únicas.

Draghetti también determinó que la fecha de exfiltración sería el 16 de marzo de 2021, basándose en los registros de la base de datos más recientes, lo que significaba que los datos probablemente se originaron a partir de una violación de datos no revelada anteriormente.

Después de que BleepingComputer se pusiera en contacto con Luxottica sobre los datos publicados, la empresa confirmó que los datos filtrados procedían de un incidente de seguridad que afectó a un contratista externo que tenía datos de clientes.

La firma agregó que la investigación del incidente aún está en marcha. Sin embargo, ya ha determinado que los datos expuestos contienen nombres completos de clientes, correos electrónicos, números de teléfono, direcciones y fechas de nacimiento.

“Descubrimos a través de nuestros procedimientos de monitoreo proactivo que ciertos datos de clientes minoristas, supuestamente obtenidos a través de un tercero relacionado con los clientes minoristas de Luxottica, se publicaron en una publicación en línea.

Inmediatamente informamos del incidente al FBI y a la policía italiana. El propietario del sitio web donde se publicaron los datos fue arrestado por el FBI, el sitio web fue cerrado y la investigación está en curso. También se ha notificado a la autoridad italiana de protección de datos y estamos considerando otras obligaciones de notificación.

A partir de nuestra investigación, que aún continúa, sabemos hasta ahora que los datos consisten principalmente en datos de contacto del cliente, incluidos nombres, direcciones, números de teléfono, correos electrónicos y fechas de nacimiento. Los datos no incluyen información financiera de las personas, números de seguro social, datos de inicio de sesión o contraseña u otra información que pueda comprometer la seguridad de nuestros clientes.

EssilorLuxottica sigue confiando en que sus sistemas no fueron vulnerados y que su red permanece segura”. - Luxottica

Cuando se le preguntó cuándo se dieron cuenta por primera vez de la infracción, un portavoz de Luxottica respondió: "Nos enteramos del incidente por primera vez a través de una publicación de un tercero en la web oscura en noviembre de 2022".

Troy Hunt, propietario del servicio de notificación de violaciones de datos “Have I Been Pwned” (HIBP), le dijo a BleepingComputer que los datos filtrados incluyen 77.093.812 cuentas únicas, el 74% de las cuales ya están en los registros de la plataforma.

Hunt nos dijo que HIBP enviará hoy más de 320.000 avisos de violación a los suscriptores de la plataforma en relación con la violación de datos de Luxottica de 2021.

Para verificar si su información estuvo expuesta en esta violación, puede visitar el sitio HIBP y buscar su dirección de correo electrónico en la página principal, y el sitio enumerará todas las violaciones de datos a las que su dirección de correo electrónico estuvo expuesta.

Base de datos BreachForums y chats privados a la venta en violación de datos de piratas informáticos

Ocho millones de personas afectadas por la violación de datos del contratista del gobierno estadounidense Maximus

La OTAN investiga presunto robo de datos por parte de piratas informáticos de SiegedSec

HCA confirma una infracción después de que un pirata informático robara datos de 11 millones de pacientes

Razer investiga reclamaciones de violación de datos y restablece las sesiones de los usuarios