La prestigiosa casa de subastas Sotheby’s, una de las instituciones más emblemáticas del mundo del arte y el lujo, ha reconocido haber sufrido un ciberataque que expuso información confidencial de empleados y clientes. El incidente se produjo el pasado 24 de julio, aunque no se ha conocido públicamente hasta esta semana, cuando la compañía presentó la notificación correspondiente ante la Oficina del Fiscal General del Estado de Maine (EE. UU.).
Según el documento presentado, los atacantes robaron datos personales que incluyen números de la Seguridad Social y cuentas financieras. Por el momento, solo se ha confirmado oficialmente que dos residentes del estado de Maine se encuentran entre los afectados, aunque se sospecha que el número total de víctimas podría ser mucho mayor, dado el alcance internacional de la empresa y el perfil de su clientela.
Sotheby’s, con sede en Nueva York y fundada en Londres en 1744, es una de las casas de subastas más reconocidas del planeta. Su base de clientes incluye a coleccionistas, artistas, marchantes y fondos de inversión de alto patrimonio. Por eso, la posibilidad de que se hayan visto comprometidos datos financieros de compradores o vendedores genera gran preocupación en el sector del arte y el lujo.
Un ataque silencioso y con pocas respuestas
En un comunicado remitido a las personas afectadas, la compañía reconoce que los atacantes lograron infiltrarse en sus sistemas a pesar de las medidas de seguridad habituales. “Tenemos protecciones administrativas y técnicas que incluyen defensas en capas, controles de acceso estrictos, conexiones seguras y sistemas avanzados de protección frente a amenazas”, señala la carta.
Sotheby’s asegura que mantiene actualizados sus sistemas, realiza pruebas de respuesta ante incidentes, respalda servicios críticos y forma a su personal en materia de seguridad digital. No obstante, la compañía no ha ofrecido detalles sobre el vector de ataque utilizado ni sobre si ha recibido alguna demanda de extorsión o rescate, algo habitual en este tipo de incidentes.
La firma británico-estadounidense también ha confirmado que ofrecerá a las personas afectadas 12 meses gratuitos de monitorización de crédito e identidad a través de la agencia TransUnion, una práctica común en Estados Unidos cuando se filtra información personal.
Por ahora, el ataque solo ha sido notificado oficialmente en el estado de Maine, pero los investigadores han revisado los portales de notificación de brechas de todos los estados del país sin encontrar otros registros similares. Esto podría indicar que el proceso de notificación aún está en curso o que el incidente afectó principalmente a sistemas internos con un número limitado de víctimas identificables.
La sombra del precedente de Christie’s
El ataque a Sotheby’s llega poco más de un año después del sufrido por su gran competidora, Christie’s, en mayo de 2024. En aquella ocasión, la operación fue atribuida al grupo RansomHub, una banda que tomó relevancia tras la desarticulación de LockBit, uno de los cárteles de ransomware más activos de los últimos años.
Christie’s logró evitar la publicación de los datos robados porque, según afirmaron los propios atacantes, encontraron un comprador en una “subasta privada”. La ironía del caso no pasó desapercibida: una casa de subastas convertida en objeto de subasta por los mismos criminales.
En aquel momento, los expertos en ciberseguridad se mostraron escépticos sobre la veracidad de esa afirmación.
El ataque a Sotheby’s podría seguir un patrón similar: el robo de datos valiosos, la posibilidad de una negociación o amenaza de publicación, y una posterior filtración o venta en foros clandestinos. Hasta la fecha, no se ha detectado ninguna publicación relacionada con Sotheby’s en los sitios habituales de filtraciones, lo que sugiere que los atacantes podrían estar esperando un pago o tanteando el mercado negro.
