La multinacional financiera estadounidense Morgan Stanley formó parte de la lista de afectados de la vulnerabilidad de Accellion. Así fue descubierto al detectarse el robo de información personal por medio del servidor de Accellion FTA de Guidehouse. La empresa de consultoría de gestión que sirve como proveedor externo de la firma de inversión, y ha unido a la firma a la infame brecha de Acellion.
En mayo se pudo descubrir sobre esta violación de datos pero no fue sino hasta el 2 de julio que Bleeping Computer, accedió a una carta de notificación de dicha violación.
Se pudo conocer además, que Guidehouse se encargó en enero de parchear la vulnerabilidad del TLC de Accellion. Sin embargo, los atacantes fueron mucho más rápidos, estos ya tenían en su poder información personal de los clientes de Morgan Stanley.
Entre los datos obtenidos se encontraban algunos de gran delicadeza como nombres y números de seguridad social. La encriptación de los archivos no fue suficiente para su resguardo, y es que los atacantes pudieron descifrar su clave durante el incidente.
Una amenaza latente
Morgan Stanley no sufrió de consecuencias directas en sus aplicaciones, pero sí en la cadena de suministro, siendo un proveedor de la empresa, Guidehouse, quien sirvió como vía para el acontecimiento.
Sobre el mismo, Morgan Stanley ha dado a conocer que está trabajando en compañía de Guidehouse para solventar las fallas de seguridad y brindarles a sus clientes la mayor estabilidad posible.
La cadena de suministros de Morgan Stanley no es la primera atacada en el año, puesto que este tipo de ataques se ha convertido en recurrente para muchas empresas. Empresas como Microsoft Exchange, Kaseya y SolarWinds han sido afectadas en su carrera por tratar de reforzar la seguridad en sus sistemas.
Las amenazas no hacen más que multiplicarse, en el sentido de que los peligros acechan ahora a través de los proveedores de red. También en quienes poseen datos de las empresas. La búsqueda de un punto de apoyo que puedan comprometer y debilitar, es el objetivo.
Por ejemplo, el caso de Morgan Stanley es uno complejo porque es complicado prevenir esta clase de ataques. Debido a la dificultad que implica el examinar cada detalle del ecosistema tecnológico bajo el cual se desarrollen todos sus proveedores.
La vulnerabilidad de Accellion
Miles de millones de dólares son gastados por los bancos cada año para protección de su huella digital. Pero la brecha de Acellion ha logrado tambalear su funcionabilidad. Su producto heredado File Transfer Appliance ha expuesto a diversos clientes.
En diciembre la empresa se encargó de aplicar un parche en una vulnerabilidad, después fueron encontrados más exploits en su producto FTA.
Entre los afectados figuran grandes nombres como Goodwin Procter, que corresponde a la Oficina del Auditor del Estado de Washington. Por igual, figura a Qualys, que lo hace a una empresa de seguridad en la nube.
En respuesta, las vulnerabilidades de su FTA fueron corregidas antes del 1 de marzo, y se adelantó su fin de vida para el 30 de abril según ha sido dado a conocer por la empresa.
