Mercado Libre comenzó a notificar masivamente este viernes a los usuarios cuyos datos se vieron comprometidos tras el hackeo que ocurrió a principios de marzo. Aseguran que “se expusieron algunos datos personales, como por ejemplo tu e-mail”, pero dicen que “no hubo accesos a tarjetas de crédito, contraseñas, saldos de dinero o inversiones”.

El 7 de marzo, un grupo de ciberdelincuentes «accedió a los datos de aproximadamente 300 mil usuarios», del total de 140 millones que tienen entre ambas plataformas, según reconoció la propia empresa. Fue el grupo de ciberdelincuentes “Lapsus”, que además filtró la información de 24 mil repositorios de código fuente.

A partir de esto, la empresa aseguró que iba a reforzar las medidas de seguridad con los usuarios afectados. Este viernes comenzaron a llegar los correos.

En la información difundida, la empresa recuerda una serie de medidas de seguridad, reproducidas a continuación:

Si te contactan de parte de Mercado Libre, nunca les des tu clave ni tus códigos de acceso. El código de seguridad se genera solo si vos lo pedís a través de la app o la web. Por eso, ningún empleado legítimo de Mercado Libre lo puede generar por vos, ni te lo va a pedir para gestionar una consulta.
Fortalecé la seguridad de tu cuenta con un segundo factor de verificación.
Cambiá tu clave frecuentemente.
También ofrecen soporte para quienes sospechen que tengan las cuentas comprometidas, acá.

El correo, sin embargo, no especifica exactamente qué información lograron obtener los ciberdelincuentes: más bien niegan que haya datos sensibles como los de la tarjeta de crédito, pero apenas dicen que se comprometieron datos “como el correo electrónico”.

Clarín se contactó con la empresa para tener más detalles, pero no especificaron qué datos personales se filtraron. Mercado Libre se limitó a informar que «no se comprometieron contraseñas, saldos de cuenta o inversiones, ni información sobre tarjetas».

El comunicado de Mercado Libre a la prensa

Ante las consultas de Clarín, Mercado Libre compartió una declaración sobre el envío de los correos electrónicos a los usuarios afectados:

A partir de los estrictos protocolos de seguridad y del proceso de análisis exhaustivo que mantenemos de forma activa desde el mes de marzo pasado, con motivo del acceso no autorizado al código fuente de Mercado Libre, Inc., se han identificado más datos alcanzados por este mismo incidente.

Manteniendo siempre una comunicación transparente y oportuna con nuestros usuarios, hoy contactamos proactivamente a todos los titulares de dichos datos para informarles al respecto. En ningún caso hubo compromiso de contraseñas, saldos de cuenta o inversiones, ni información sobre tarjetas; tampoco encontramos evidencias de acceso a cuentas de nuestros usuarios, ni ningún otro tipo de compromiso. Asimismo, les comunicamos que ninguno de los datos alcanzados por el incidente se ha hecho público hasta la fecha.

La seguridad de nuestros usuarios y de la plataforma es nuestra prioridad, por lo que continuamos tomando medidas estrictas que así lo garanticen.

El hackeo de Lapsus$ a Mercado Libre

El lunes 7 de marzo la compañía reconoció el acceso no autorizado a sus repositorios de código fuente, junto al compromiso de 300 mil cuentas de usuarios.

«Recientemente hemos detectado que parte del código fuente de Mercado Libre, Inc. ha sido objeto de acceso no autorizado. Hemos activado nuestros protocolos de seguridad y estamos realizando un análisis exhaustivo», habían explicado.

La información era conocida en los círculos de seguridad informática, ya que Lapsus$, el grupo de ciberdelincuentes que opera con ransomware, había publicado una encuesta en su canal de Telegram para preguntar a quién querían sus seguidores que hackean. En la lista estaba Mercado Libre.

La forma que tienen de operar estos grupos de cibercriminales es con extorsiones mediante ransomware: un tipo de virus que bloquea la información del usuario y pide un rescate en dinero a cambio, como sucedió con Migraciones en 2020 y el acceso no autorizado del Renaper en 2021.

Lapsus$ estuvo recientemente en las noticias por filtrar datos de Samsung. El viernes pasado subieron un archivo dividido en tres partes con datos de la compañía surcoreana, que se podía descargar mediante un torrent.

Algunos expertos aseguran que Lapsus$ es un grupo latinoamericano de ciberdelincuentes, por la información que postean y las pistas que van dejando sus integrantes.

Más tarde, Lapsus$ filtró datos privados de Globant.

Las filtraciones de datos suelen afectar la reputación de las compañías. Sin embargo, hay que recordar que desde Yahoo hasta Microsoft, pasando por Facebook, casi ninguna quedó exenta de delitos informáticos por parte de ciberdelincuentes.

---

---