Una brecha de datos que afecta a McGraw Hill ha dejado al descubierto información vinculada a aproximadamente 13,5 millones de cuentas de usuario tras un incidente cibernético vinculado a una plataforma de terceros.
La empresa confirmó que el acceso no autorizado se produjo a través de una página web alojada en la plataforma Salesforce, que se vio afectada por una configuración incorrecta. El incidente se describe como parte de un problema más amplio que afecta a varias organizaciones que utilizan el mismo servicio.
Según la empresa, la brecha no implicó acceso directo a sus sistemas centrales, incluidas redes internas, bases de datos de clientes ni plataformas digitales de aprendizaje. También indicó que los números de la Seguridad Social, la información de cuentas financieras y los datos generados por los estudiantes no estaban expuestos.
La brecha salió a la luz después de que el grupo amenazante ShinyHunters incluyera McGraw Hill en su sitio de filtraciones y afirmara haber robado 45 millones de registros con información personal. El grupo exigió un rescate y amenazó con publicar los datos si no se realizaba el pago.
Los datos compartidos posteriormente a través de servicios de seguimiento de brechas indican que se publicaron más de 100 GB de información, incluyendo 13,5 millones de direcciones de correo electrónico únicas. Registros adicionales pueden contener nombres, direcciones físicas y números de teléfono, aunque estos campos no estaban presentes de forma consistente en todas las entradas.
Los datos expuestos se describen como información personal identificable que podría utilizarse en campañas de phishing dirigidas. La presencia de datos de contacto vinculados a cuentas de usuario aumenta la probabilidad de comunicaciones fraudulentas que hagan referencia a servicios legítimos.
McGraw Hill declaró que la página web afectada fue protegida tras la identificación de la actividad y que está trabajando con Salesforce para abordar el problema. La empresa afirmó que el incidente fue limitado en alcance y no resultó de un compromiso de su infraestructura interna.
La discrepancia entre la descripción de un conjunto de datos limitado por parte de la empresa y la afirmación del actor amenazante de un mayor volumen de registros no se ha resuelto. No se ha revelado el número total de personas afectadas más allá de las direcciones de correo electrónico identificadas.
El incidente forma parte de una serie de brechas vinculadas a ShinyHunters, que ha atacado a organizaciones explotando el acceso a servicios basados en la nube y plataformas de terceros en lugar de intrusión directa en el sistema.