Los ciberataques ya no solo generan riesgos técnicos o pérdidas económicas. Ojo, porque también pueden tener importantes consecuencias regulatorias cuando afectan a empresas importantes. Esto es lo que le ha pasado a TeamViewer tras un ciberataque.
La popular empresa tecnológica, famosa por ser una de las plataformas más usadas para comunicaciones en remoto, deberá pagar una sanción de 240.000 euros después de que el supervisor financiero alemán concluyera que incumplió su obligación de comunicar al mercado un incidente de ciberseguridad considerado relevante. La decisión llega más de dos años después del ataque sufrido por la compañía.
BaFin considera que la empresa incumplió el Reglamento sobre Abuso de Mercado
La Autoridad Federal de Supervisión Financiera de Alemania (BaFin) entiende que TeamViewer debió informar inmediatamente a los inversores mediante un hecho relevante, tal y como exige el Reglamento sobre el Abuso de Mercado (MAR).
Sin embargo, la empresa optó inicialmente por publicar un comunicado dirigido a sus clientes en el centro de confianza de su página web, sin trasladar esa información al mercado a través de los canales utilizados para comunicar información privilegiada.
Tras conocerse el incidente, las acciones de TeamViewer llegaron a caer alrededor de un 10%.
BaFin ha recordado a los medios que los incidentes graves de ciberseguridad pueden constituir información privilegiada porque tienen capacidad para afectar a la valoración de una empresa cotizada.
La compañía defendió que siguió la práctica habitual del sector
Un portavoz de TeamViewer explicó que, tras detectarse el incidente en junio de 2024, la empresa analizó detenidamente si debía considerarse información relevante para el mercado.
Según indicó, la decisión fue publicar «todos los datos importantes en el centro de confianza de su web«, al considerar que esa era la práctica habitual dentro del sector tecnológico.
Pese a esta explicación, el supervisor alemán concluyó que la compañía incumplió las obligaciones de comunicación establecidas por la normativa europea.
El ataque fue atribuido al grupo ruso APT29
La empresa terminó atribuyendo oficialmente la intrusión al grupo APT29, también conocido como Midnight Blizzard, Cozy Bear, BlueBravo o The Dukes, una organización vinculada al Servicio de Inteligencia Exterior de Rusia (SVR).
Según explicó TeamViewer, los atacantes comprometieron las credenciales asociadas a una cuenta de empleado perteneciente al entorno corporativo de tecnologías de la información.
La compañía aseguró que los ciberdelincuentes únicamente lograron acceder a sistemas internos donde obtuvieron nombres, datos de contacto y contraseñas confidenciales de empleados.
Asimismo, insistió en que «no se vieron comprometidas ni la plataforma de comunicación, ni el entorno de producción, ni los datos de los clientes«, ya que toda esa infraestructura permanece separada físicamente del entorno corporativo.
La investigación comenzó en junio de 2024
El incidente salió a la luz cuando TeamViewer detectó una «irregularidad» en su infraestructura informática interna el 26 de junio de 2024.
En aquel momento la empresa explicó que «inmediatamente activamos nuestro equipo y procedimientos de respuesta, iniciamos las investigaciones junto con un equipo de expertos en ciberseguridad de renombre mundial y aplicamos las medidas correctoras necesarias«.
También señaló que «no hay pruebas que indiquen que los datos de ningún cliente se hayan visto afectados como consecuencia del incidente«, al encontrarse completamente aislados los sistemas corporativos y los utilizados para prestar el servicio.
La investigación permaneció abierta durante meses para determinar el origen del ataque y el alcance real de la intrusión.
Un grupo con un amplio historial de ciberespionaje
APT29 figura entre los grupos de amenazas persistentes más conocidos del panorama internacional y ha sido relacionado en los últimos años con campañas de ciberespionaje contra gobiernos, grandes empresas y organizaciones estratégicas.
Además de TeamViewer, este grupo ha sido vinculado recientemente con ataques dirigidos contra Microsoft y Hewlett Packard Enterprise. Microsoft confirmó posteriormente que Midnight Blizzard consiguió acceder también a algunos buzones de correo electrónico de clientes tras una campaña descubierta a principios de año.
