La segunda mayor cadena de supermercados de Estados Unidos, con 1.900 establecimientos y 365 000 empleados, sigue sin despertar de la pesadilla cibernética que sufre desde el pasado 27 de noviembre, y que la ha llevado a la mayor crisis desde su fundación hace setenta años.
¿Quién le iba a decir a Gregg Steinhafel, CEO de Target, cuando se subía a su espléndida limusina corporativa, lo que le depararía ese frío día de noviembre de 2013? Comenzaba un grave ataque digital que dejaría seriamente tocada a su compañía.
Durante los últimos años la red de supermercados que dirige, creada en Minnesotta en 1942, había crecido por encima de sus expectativas. El año pasado abrieron catorce tiendas en la vecina Canadá y, además, su equipo de marketing había puesto en marcha una experiencia de multicanalidad en la web para extender la experiencia de compra a los hogares.
Mientras atendía correos y llamadas en su smartphone, camino de su despacho, Steinhafel pensaba: “la campaña de Navidad está a la vuelta de la esquina, seguro que cerramos este ejercicio por encima de los 73 billones de dólares del año pasado.”
Unas semanas más tarde, el 15 de diciembre, le informaron de que habían sufrido un ataque informático y que habían detectado accesos no autorizados a algunas máquinas TPV de los supermercados, que se habían conectado a servidores desconocidos.
-“¿Qué significa eso? ¿Pero se pueden atacar los TPVs de los supermercados?” preguntó a su CIO, la señora Beth Jacob que trabajaba con él desde 2008.
-“Aún no lo sabemos con exactitud, dame 24 horas ", contestó ella.
Si hubiera seguido el popular blog de Chema Alonso, CEO de Eleven Paths, filial de Telefónica, Beth Jacob habría podido explicar con claridad lo sucedido.
A pocas horas del famoso Black Friday, la noticia para Steinhafel no podía ser peor. Si se desvelaba el ataque, su campaña de Navidad se podía ir al traste. Sus colaboradores le sugirieron que, dado que la cultura corporativa de la empresa era mantener la confianza del cliente, deberían hacer una evaluación precisa y completa de daños antes de decir nada. Otros, en cambio, apostaban por dar a conocer lo sucedido cuanto antes.
El CEO pidió una evaluación urgente de daños para el día siguiente. La Sra. Jacob estuvo en disposición de contarle entonces que habían penetrado por los TPV a través de las cajas registradoras y que se habían llevado los datos de las tarjetas de crédito, incluidos los tres dígitos del reverso.
-“Gregg, nos han robado millones de datos de nuestros clientes. Se calcula que unos 70 millones de registros, que afectan a más de 40 millones de clientes. Necesitamos dos semanas para conocer con exactitud el daño producido”.
Antes de que pudieran preparar un comunicado, un bloguero experto en seguridad informática desveló el ataque y aceleró todo: obligó a Steinhafel a emitir una nota de prensa, así como a realizar una serie de entrevistas en los medios nacionales para mitigar el daño que se iba a producir. Pero ya era tarde. La gestión de la crisis de Target empezó con mal pie, los medios desvelaron la ocultación de información de la empresa de retail, lo que la perjudicó aún más.
Mientras tanto, el equipo de Steinhafel, se dio prisa en adoptar medidas como taponar la brecha de seguridad, contratar a un equipo de consultores de seguridad informática para determinar que pasó, y pagar un servicio de monitorización de las cuentas de crédito afectadas por el ataque a sus clientes por un valor de 200 millones de dólares.
Pero aún no ha acabado la cosa. El pasado 5 de marzo Beth Jacob dimitía de su cargo como responsable de Tecnologías de la Información de Target. El ciberataque perpetrado se considera una catástrofe digital de repercusiones similares a la que sufrió BP con su vertido de petróleo en 2010. La reputación de la cadena de supermercados se ha desplomado, la confianza de sus consumidores será difícil de recuperar a corto plazo, y las ventas del cuarto trimestre, las más importantes del año, cayeron un 3,8 por ciento.
El CIO de la compañía adoptó una política reactiva de seguridad que se reveló como insuficiente para proteger la privacidad de millones de sus clientes. Los CIO de estas empresas suelen procedern de áreas de negocio y no están capacitados técnicamente para adoptar medidas contra ataques cibernéticos de esta sofisticación. La figura de un experto en el área como el Chief Security Officer se revela como esencial.
Este caso es un crudo reflejo de dos grandes riesgos de seguridad a los que se enfrentan las grandes empresas en 2014:
- Por un lado, aumenta el número de puertas de entrada a los ataques. Target ha sido una de las primeras víctimas de un ciberataque multidispositivo de gran magnitud, es decir, a terminales distintos al PC, mucho más vulnerables que éstos.
- Por otro lado, hay que equilibrar seguridad versus privacidad: Los 40 millones de clientes de Target vieron, indefensos, cómo se violaba la relación de confianza que mantenían con el supermercado y se robaban sus datos privados por una deficiente evaluación del riesgo de la cadena de retail.
A las pocas horas se reveló que estos datos se estaban vendiendo en la zona de mercado negro de la Deep Web, la parte de Internet oculta (algunos estiman que supone el 96 por ciento del tráfico total de datos que circula por la web).
Según Chema Alonso, una de las redes principales de la Deep Web es TOR. que “en origen estaba pensada, no para tener contenidos ocultos, sino para garantizar anonimato a los usuarios que se conectaban y privacidad en el envío de la información entre los nodos y, entre otras cosas, ayudar a las personas oprimidas y perseguidas en regímenes dictatoriales.
A día de hoy, la continuidad en el cargo del otrora omnipotente CEO de Target está en entredicho. Una carrera cimentada en años de trabajo y esfuerzo puede irse al traste por unos desconocidos expertos en violar sistemas de seguridad para delinquir con ellos. Sin duda, más que nunca es necesaria una ciberseguridad disruptiva frente a un ecosistema de amenazas cambiante y complejo.
Imagen: Patrick Hoesly
Soluciones y Sectores
Te puede interesar
-
Nodo IoT: el corazón de los edificios inteligentes en una smart city
Una ciudad se compone de edificios de todo tipo (residenciales, comerciales, industriales, públicos…) y para que se considere una ...
-
Una industria conectada es una industria sostenible
La industria manufacturera representa el 11,3% del PIB español pero es responsable del 24% del consumo energético y el ...
-
Radiografía de la experiencia de empleado en España
Las nuevas formas de trabajo suponen un cambio fundamental en la cultura de las organizaciones y una valiosa herramienta ...
