-
La filtración de Yummy expone fotos y nombres de conductores, un riesgo de seguridad física.
-
Otras startups del país como Cashea y Kontigo sufrieron ataques similares.
Actualización: Esta nota se actualizó para agregar el comunicado oficial de Yummy tras el hackeo.
El hacker identificado como “GordonFreeman” filtró este 8 y 9 de marzo datos de dos plataformas venezolanas: Rapikom, destinada a la gestión comercial para empresas afiliadas, y Yummy Rides, una aplicación de transporte y delivery.
Las filtraciones en ambas bases de datos fueron reportadas por VECERT Analyzer, un equipo de ciberseguridad que monitorea este tipo de incidentes.
En el caso de la filtración en Rapikom, según VECERT, se trataría de 5.000 registros comprometidos que incluyeron contraseñas de usuarios, datos de pago, comisiones financieras, números de identificación fiscal (RIF), correos electrónicos y teléfonos de contacto de empresas afiliadas a la plataforma.
Por su parte, en la app Yummy Rides, el atacante publicó una base de datos con 30.000 imágenes vinculadas a los nombres completos de conductores registrados en la plataforma, conforme a VECERT.
Los datos expuestos en ambas filtraciones habilitan distintos tipos de ataque:
- Exponen a accesos no autorizado a cuentas, fraude fiscal y robo de información comercial sensible.
- Suplantación de identidad.
- Ataques de phishing dirigido.
- Riesgos de seguridad física.
Quienes utilicen Yummy Rides o Rapikom deben asumir que sus datos pudieron quedar expuestos y actuar en consecuencia: cambiar contraseñas (especialmente si las reutilizan en otros servicios), y activar la verificación en dos pasos (un segundo código de confirmación, además de la contraseña, que se envía al teléfono o correo electrónico) en todas las plataformas donde operen.
En adición, ante cualquier mensaje, llamada o correo que solicite datos personales, credenciales o pagos urgentes, la recomendación es no responder y verificar directamente con la empresa por sus canales oficiales: las filtraciones de este tipo suelen ir seguidas de ataques de phishing que usan la información robada para parecer legítimos.
Comunicado de Yummy
En la tarde de este 9 de marzo, el CEO de Yummy, Vicente Zavarce, publicó un comunicado oficial en el que reconocía la brecha de seguridad ocurrida; sin embargo, aclaraba que esta se ‘corrigió inmediatamente’ y que no existen datos de usuarios comprometidos, a pesar de los 30.000 registros (entre fotos y nombres) señalados por VECERT Analyzer.
Un patrón que se repite en el ecosistema venezolano
Los ataques a Yummy y Rapikom no son casos aislados. El 21 de febrero, Cashea, plataforma de pagos, informó una filtración que expuso cédulas, números telefónicos, nombres y detalles de transacciones de usuarios, producida a través de una cuenta de correo comprometida vinculada a su plataforma de aliados, como lo reportó CriptoNoticias.
La empresa aclaró que las contraseñas no fueron afectadas y que la plataforma continuó operando con normalidad.
Asimismo, Kontigo, plataforma venezolana de servicios financieros con activos digitales, sufrió el 5 de enero pasado el drenaje de más de USD 300.000 en USDC. Al día siguiente, aseguraron que la empresa restituyó los fondos a los usuarios afectados.
Otro caso grave fue lo ocurrido con Digitel, una de las principales empresas telefónicas de Venezuela. El 12 de febrero de 2024, el grupo de hackers MedusaBlog comenzó a publicar datos robados a la compañía y exigió USD 5 millones en bitcoin (BTC) para no divulgarlos.
Especialistas advirtieron tras el ataque de MedusaBlog que el riesgo principal no está en los datos individuales sino en su triangulación: cruzar número de teléfono, cédula y correo electrónico abre la puerta al fraude financiero y al robo de identidad.
