Phone House, última víctima del ransomware de Babuk

Si eres o has sido cliente de la cadena de tiendas de Phone House me temo que esto son muy malas noticias, puesto que según ha publicado el grupo Babuk, se habrían hecho con varias bases de datos de este grupo, exfiltrando registros de hasta 3 millones de clientes y empleados, en un conjunto de varias bases de datos de Oracle que, en total, rondan los 113 gigabytes de información, según podemos leer en la página web (en la Dark Web) del grupo.

El ataque, que todavía no ha sido confirmado oficialmente por Phone House, habría afectado a las siguientes bases de datos:

• INFOVENTAS: 7 gigabytes.
• PHONE: 31 gigabytes.
• POS: 1,6 gigabytes.
• PP: 19 gigabytes.
• SEGUROSPH: 951 megabytes.
• SMARTHOUSE: 11 gigabytes.
• TARVAR: 6 gigabytes.
• VENTASONLINE: 4,6 gigabytes.
• VISIOFRANK: 9,7 gigabytes.
• MK_DWH: 23 gigabytes.

Adicionalmente al listado de las bases de datos exfiltradas, Babuk también ha publicado algunas muestras del contenido de algunas de esas tablas, en las que podemos ver bastantes datos personales de clientes y empleados: nombres y apellidos, direcciones de correo electrónico y postales, DNI y NIE, números de teléfono, fechas de nacimiento, nacionalidad… Además, para la base de datos de los seguros que es posible contratar con Phone House al comprar un nuevo dispositivo, también podemos ver las cuentas bancarias en las que están domiciliados los recibos de dicha cobertura.

Hace solo unos días ya incidíamos en la peligrosidad de Babuk, en ese momento por su ataque a los Houston Rockets, un equipo de la NBA. Ya dijimos, en ese momento, que pese a no ser un malware especialmente complejo en el apartado técnico, sí que resulta bastante peligroso, hasta al punto de que fue el primer ransomware en golpear al sector empresarial este 2021. Este nuevo golpe a Phone House España es una muestra muy clara, y desgraciadamente muy cercana, de dicha peligrosidad.

Junto a las pruebas del ataque, Babuk ha publicado el siguiente texto:

Hemos descargado un volcado completo de sus 10 bases de datos Oracle que contienen información GDPR (nombre completo, fecha de nacimiento, correo electrónico, teléfono, dirección, nacionalidad, imei, etc) de más de 3 millones de clientes y empleados.
Si usted no paga – toda esta información será publicada en nuestro blog público, foros darknet, enviado a todos sus socios y competidores.

No vemos información ni sobre plazos ni sobre el importe reclamado, pero ya nos podemos hacer  la idea de que el plazo será corto y el importe será elevado. Además, la mención específica a la GDPR señala a uno de los grandes riesgos que afronta Phone House frente a esta filtración, y es que si la investigación determina que la compañía no adoptó las medidas adecuadas para proteger los datos de sus clientes y empleados, se puede enfrentar a sanciones millonarias en base a las regulaciones europeas.

Phone House es uno de los principales minoristas de telefonía móvil en España. Basada en el modelo de franquicia, abrió su primera tienda en España en 1997, en Madrid, por lo que formó parte de la revolución de la telefonía móvil del segundo lustro de los noventa, momento en el que ésta pasó de estar al alcance de unos pocos a popularizarse. Actualmente cuenta con más de 500 tiendas, que además se complementan con su tienda online

Hemos contactado con Phone House y estamos a la espera de su contestación. Tal y como la recibamos ampliaremos esta noticia con la postura oficial de la compañía frente a este ataque. También hemos contactado con la organización de consumidores Facua para conocer su posición en esta filtración, así como sus recomendaciones a los usuarios que se puedan haber visto afectados, y si planea adoptar alguna medida contra el minorista.