Qué ocurrió: FulcrumSec y la exposición de tokens de GitHub
Un grupo de extorsión cibernética que se hace llamar FulcrumSec está detrás de una brecha de datos en Novo Nordisk, la empresa farmacéutica conocida por producir medicamentos ampliamente utilizados para la diabetes y la pérdida de peso. Según los informes, los atacantes obtuvieron su punto de apoyo no mediante un sofisticado exploit de día cero, sino encontrando credenciales codificadas de forma rígida vinculadas a tokens de acceso de GitHub que estaban en la infraestructura de TI de cara al público de Novo Nordisk.
Esta no es una táctica aislada del grupo. Según se informa, FulcrumSec ha establecido un patrón de escaneo de repositorios de código públicos, scripts del lado del cliente y otra infraestructura expuesta en busca de secretos olvidados, como claves de API, tokens de sesión y credenciales de acceso que los desarrolladores dejaron accidentalmente en su lugar. Una vez que se encuentra un token válido, puede actuar como una llave maestra, otorgando a los atacantes una vía hacia sistemas que nunca debían ser accesibles desde el exterior.
La brecha de datos de Novo Nordisk que involucra tokens de GitHub ilustra un tema recurrente en las intrusiones corporativas modernas: los atacantes cada vez necesitan menos atravesar un firewall cuando un fragmento de código olvidado les entrega las llaves en su lugar.
Por qué las credenciales codificadas de forma rígida siguen causando brechas corporativas
Las credenciales codificadas de forma rígida, es decir, nombres de usuario, contraseñas, claves de API o tokens escritos directamente en el código fuente en lugar de almacenarse en un gestor seguro de secretos, siguen siendo una de las causas más persistentes y prevenibles de brechas de datos corporativas. Los desarrolladores suelen incorporar estos valores durante las pruebas o los ciclos de despliegue rápido, con la intención de eliminarlos más tarde. En organizaciones de ingeniería grandes y de ritmo acelerado, ese paso de limpieza con frecuencia se omite o se olvida.
Una vez que ese código se envía a un repositorio público o semipúblico, o se distribuye dentro de JavaScript del lado del cliente que el navegador de cualquier visitante puede descargar, la credencial queda efectivamente expuesta a cualquiera que sepa dónde buscar. Grupos como FulcrumSec han construido todo su modelo operativo en torno a encontrar exactamente este tipo de descuidos a escala, tratando el escaneo de credenciales como una parte repetible y casi automatizada de su proceso de reconocimiento.
Este patrón se extiende mucho más allá del sector farmacéutico. Instituciones financieras, empresas tecnológicas y fabricantes han visto compromisos similares impulsados por credenciales. La cobertura de la brecha reclamada por el grupo de ransomware Unsafe contra Deutsche Bank y el ataque de ransomware D1R contra ARM que eludió la autenticación de dos factores apuntan ambos al mismo problema de fondo: a los atacantes les resulta más fácil entrar por una puerta que un desarrollador dejó sin cerrar que forzarla.
Qué significa esto para los datos de salud de pacientes y consumidores
Para una empresa como Novo Nordisk, las consecuencias de una filtración de credenciales van más allá de la típica vergüenza corporativa. Las empresas farmacéuticas manejan información sensible vinculada a la investigación clínica, la fabricación y, en muchos casos, datos conectados a pacientes que dependen de sus medicamentos. Cuando un grupo de extorsión obtiene acceso interno mediante un token filtrado, la exposición puede propagarse hacia socios, proveedores de atención médica y, en última instancia, hacia las personas cuya información de salud toca esos sistemas.
Esta brecha se suma a una lista creciente de incidentes que afectan al sector de la salud y farmacéutico. Informes anteriores detallaron cómo Boston Scientific y McKesson confirmaron ambas brechas que expusieron datos de pacientes, y cómo el grupo ShinyHunters golpeó a Abbott y NAIC a través de una falla de Oracle, interrumpiendo en el proceso la investigación de fármacos contra el cáncer. Cada incidente utilizó un punto de entrada técnico diferente, pero el resultado es el mismo: datos sensibles relacionados con la salud terminan en manos de personas sin ningún derecho legítimo sobre ellos.
Los consumidores que toman medicamentos producidos por grandes empresas farmacéuticas generalmente tienen visibilidad o control limitados sobre cómo esas empresas protegen sus canales internos de desarrollo. Eso hace razonable suponer que cualquier organización que maneje datos de salud es tan segura como su secreto de desarrollador más débil, y actuar en consecuencia cuando se le notifique una brecha.
Cómo las organizaciones y las personas pueden reducir la exposición ante filtraciones de credenciales
Para las organizaciones, la solución no es exótica. Los equipos de seguridad recomiendan rutinariamente rotar las credenciales con un calendario regular, escanear repositorios de código y scripts del lado del cliente en busca de secretos expuestos antes del despliegue, y abandonar los tokens codificados de forma rígida en favor de herramientas centralizadas de gestión de secretos que emitan credenciales de corta duración y revocables. Nada de esto es un consejo nuevo, pero la recurrencia de estas brechas muestra lo difícil que sigue siendo aplicarlo de manera consistente en equipos de ingeniería grandes.
Para las personas, la respuesta práctica a noticias como la brecha de datos de Novo Nordisk que involucra tokens de GitHub es sencilla. Esté atento a las cartas de notificación de brechas de cualquier empresa farmacéutica, farmacia o plan de salud con el que interactúe, y tómese en serio incluso si el aviso suena rutinario. Use contraseñas únicas para los portales de salud y habilite la autenticación multifactor siempre que se ofrezca. Monitoree las cuentas vinculadas a recetas, seguros y facturación en busca de actividad inusual, ya que los datos robados en estos incidentes a menudo reaparecen más tarde en campañas de phishing o intentos de robo de identidad.
Puntos clave
La brecha de Novo Nordisk es un recordatorio de que los atacantes no siempre necesitan herramientas avanzadas para comprometer a una empresa importante; a veces basta con una sola credencial olvidada. Si usted usa productos de Novo Nordisk u otras empresas de salud y farmacéuticas, esté atento a las notificaciones oficiales de brechas, revise la configuración de seguridad de cualquier cuenta relacionada y trate con especial cautela los correos electrónicos inesperados que hagan referencia a sus recetas o historial médico. Dado el patrón observado en otras brechas relacionadas con la salud, vale la pena revisar periódicamente cómo están protegidas sus propias cuentas relacionadas con la salud, en lugar de esperar a que una carta de notificación impulse la acción.
