Filtración de datos de Western Alliance Bank en 2024

La principal prueba es la carta de Western Alliance Bank dirigida a los consumidores, publicada en los expedientes de los organismos reguladores de California y Massachusetts. El documento describe directamente, en nombre del banco, la vulnerabilidad del software del proveedor externo, el periodo de acceso y obtención de archivos, las fechas de descubrimiento y revisión de los datos, los campos de información confirmados, la notificación a las autoridades policiales y el servicio de protección de la identidad ofrecido.

Los registros de las fiscalías generales de Maine y de otros estados también respaldan el proceso de notificación. Claim Depot vincula esos documentos oficiales y publica de forma estructurada el total nacional de 21 899 personas y los desgloses por estado. Las fuentes coinciden en el periodo del incidente, el software de transferencia del proveedor externo, la copia de archivos y las principales categorías de datos.

El software de transferencia segura de archivos utilizado por Western Alliance y muchas otras organizaciones contenía una vulnerabilidad que hasta entonces se desconocía. Un actor no autorizado la explotó en octubre y accedió a una parte limitada de los sistemas del banco. La investigación determinó que ese actor obtuvo determinados archivos entre el 12 y el 24 de octubre.

El banco tuvo conocimiento del posible acceso el 27 de enero de 2025, comenzó a revisar los archivos y determinó el 21 de febrero que contenían información personal. Una fuente secundaria informa de que el grupo CL0P reivindicó la autoría, mientras que la carta dirigida a los consumidores no identifica a ningún actor ni atribuye el incidente a ransomware. LeakData considera verificadas la vulnerabilidad del software del proveedor externo y la obtención de archivos, sin presentar la reivindicación del grupo como una atribución concluyente.

La notificación enumera los nombres y los números de la Seguridad Social como campos principales confirmados. También podrían haber estado presentes fechas de nacimiento, números de licencias de conducir, números de identificación fiscal y pasaportes cuando la persona los había facilitado al banco. No debe suponerse que todas las personas afectadas tenían la misma combinación de datos, ya que el alcance variaba según el cliente y el archivo.

La combinación de SSN, número de identificación fiscal, fecha de nacimiento y documento oficial genera un riesgo a largo plazo de solicitudes de crédito fraudulentas, fraude fiscal, uso indebido de la identidad empresarial y ataques de phishing dirigidos. Cuando se haya visto afectado un pasaporte o una licencia de conducir, puede ser conveniente revisar las opciones de renovación y de denuncia de uso indebido que ofrece la autoridad emisora. No se deben compartir imágenes de documentos ni códigos de verificación a través de mensajes inesperados que utilicen la marca del banco.

El banco indicó que algunos archivos podrían haber contenido números de cuentas financieras. Este dato puede facilitar fraudes relacionados con cuentas, solicitudes de pago fraudulentas o ataques de ingeniería social dirigidos a un cliente con información precisa sobre su cuenta. La carta pública no identifica el tipo de cuenta, el nombre de la entidad financiera ni si la cuenta seguía abierta en el momento del incidente.

La fuente no confirma específicamente la presencia de números de tarjetas de pago, fechas de vencimiento, CVVs, PINs, contraseñas de banca en línea, números de ruta bancaria, saldos ni historiales de transacciones. Los destinatarios deben activar las alertas de actividad a través de la aplicación oficial del banco y comunicar directamente a la entidad cualquier transferencia, beneficiario o cambio de perfil que no reconozcan.

La cifra de personas o registros afectados publicada por la fuente oficial representa el alcance comunicado del incidente. No significa que todas las categorías de datos divulgadas correspondieran a cada persona. Los desgloses incluyen 1 222 residentes de Texas, 539 de Washington, 41 de New Hampshire, 17 de Massachusetts y seis de Maine. Estas cifras estatales forman parte del total nacional y no se suman de nuevo a las 21 899 personas.

Western Alliance indicó que, a la fecha de la notificación, no tenía pruebas de que la información personal se hubiera utilizado indebidamente para cometer fraude o suplantar identidades. Esa evaluación, limitada a ese momento, no elimina el riesgo futuro. Dado que se confirmó que el actor había obtenido copias de archivos y que estos contenían identificadores de larga vigencia, como los SSN, los destinatarios deben mantener una vigilancia a largo plazo de su crédito y sus cuentas.

Western Alliance notificó a las autoridades policiales, reforzó las medidas técnicas de seguridad y ofreció a las personas que reunían los requisitos una suscripción gratuita de un año a Experian IdentityWorks Credit 3B. El servicio incluye supervisión del crédito en las tres agencias de información crediticia, recuperación de la identidad, asistencia continuada después del vencimiento de la suscripción y un seguro contra el robo de identidad de hasta $1 millón, sujeto a condiciones. Los detalles de inscripción figuran en las cartas individuales.

Los destinatarios deben inscribirse únicamente con el código que figura en la carta oficial y revisar sus informes crediticios y sus cuentas de Western Alliance para detectar actividad que no reconozcan. Cuando se haya visto afectado un SSN o un número de identificación fiscal, puede ser conveniente congelar el crédito en las tres agencias de información crediticia, establecer una alerta de fraude y obtener un PIN de protección de la identidad del IRS. No se deben facilitar códigos de un solo uso ni contraseñas en llamadas sospechosas.