Cognizant se enfrenta a una demanda del mayor fabricante de Bleach de Estados Unidos, Clorox. El fabricante de Bleach Clorox demandó al proveedor de tecnología de la información Cognizant por un devastador ciberataque de 2023, alegando que los hackers obtuvieron acceso al pedir al personal de la empresa de tecnología las contraseñas de sus empleados.
Clorox fue una de varias empresas importantes golpeadas en agosto de 2023 por el grupo de hackers denominado Scattered Spider. Clorox proporcionó a la agencia de noticias Reuters un recibo de la demanda del tribunal.
El hackeo de 2023 en Clorox causó 380 millones de dólares en daños, dijo la demanda, alrededor de 50 millones de los cuales estaban vinculados a los costos correctivos y el resto atribuible a la incapacidad de Clorox para enviar productos a los minoristas a raíz del hackeo.
La demanda de Clorox comparte la transcripción de la supuesta conversación entre empleados de Cognizant y hackers
Clorox, en su demanda presentada el martes en el Tribunal Superior de California, Condado de Alameda, dijo que ha confiado en Cognizant durante más de una década para "desempegar funciones críticas en el entorno cibernético de Clorox".
Clorox alegó que Cognizant, a pesar de haber sido proporcionado "procedimientos directos" para autenticar adecuadamente a los empleados que llamaron a su mesa de servicio operado por Cognizant para restablecer sus credenciales, no lo hizo, lo que resultó en un "ciberataque catastrófico" contra la empresa.
"Cognizant no fue engafado por ninguna estratagema elaborada o técnicas de piratería sofisticadas. El ciberdelincuente acaba de llamar al servicio de atención al cliente de Cognizant, pidió credenciales para acceder a la red de Clorox, y Cognizant entregó las credenciales de inmediato.
Cognizant está en la cinta entregando las claves de la red corporativa de Clorox al ciberdelincuente, sin preguntas de autenticación", alega Clorox en la demanda.
Tres transcripciones parciales incluidas en la demanda supuestamente muestran conversaciones entre el hacker y el personal de soporte de Cognizant en las que el intruso solicita que se restablezcan las contraseñas y el personal de apoyo cumple sin verificar con quién están hablando, por ejemplo, cuestionándolos sobre su número de identificación de empleado o el nombre de su gerente.
"No tengo contraseña, así que no puedo conectarme", dice el hacker en una llamada. El agente responde: "Oh, vale. Vale. Así que déjame darte la contraseña, ¿vale?"
"Cognizant no fue engauado por ninguna estratagema elaborada o técnicas de piratería sofisticadas", según una copia de la demanda revisada por Reuters. "El ciberdelincuente acaba de llamar al Servicio de Atención al Cliente de Cognizant, pidió credenciales para acceder a la red de Clorox, y Cognizant entregó las credenciales de inmediato".
Clorox afirmó además que la limpieza se vio obstaculizada por otras fallas de los empleados de Cognizant, incluida la falta de desactivación de ciertas cuentas o la restauración adecuada de los datos.
Cognizant dice: No nos contrataron por seguridad
En respuesta a las acusaciones y a la demanda, Cognizant afirmó, en una declaración por correo electrónico a Reuters, que la empresa no administraba la ciberseguridad para Clorox y que solo fue contratada para servicios limitados de asistencia. "Clorox ha tratado de culparnos por estos fracasos, pero la realidad es que Clorox contrató a Cognizant para un estrecho alcance de servicios de mesa de ayuda que Cognizant realizaba razonablemente", dijo Cognizant.
Jeff DeMarrais, vicepresidente senior de marketing global y director de comunicaciones de Cognizant, dijo a CRN que eran las propias prácticas de seguridad de Clorox las que eran laxas. "Es sorprendente que una corporación del tamaño de Clorox tuviera un sistema interno de ciberseguridad inepto para mitigar este ataque. Clorox ha tratado de culparnos por estos fallos, pero la realidad es que Clorox contrató a Cognizant para un estrecho alcance de servicios de mesa de ayuda que Cognizant realizaba razonablemente. Cognizant no gestionó la ciberseguridad para Clorox", escribió DeMarrais.
El fin del Artículo
