Los Juegos Olímpicos, el Mundial de Fútbol y el Super Bowl de la NFL no hacen más que confirmar lo que los datos refrendan cada vez con más nitidez: la industria del deporte es una de las más importantes del mundo.
Existen estimaciones que indican que representa entre el 1 y 2% del PBI mundial y que sus ingresos por publicidad para 2030 superarían los 100.000 millones de dólares.
Lo que para los ojos de la mayoría es un juego en el que se involucra la pasión y el sentimiento, para los cibercriminales es un campo fértil del cual sacar partido. Constantemente buscan aprovechar la masividad del deporte para obtener tajada de los miles de millones que se mueven a su alrededor.
¿Cómo lo hacen? A través de filtraciones de datos, estafas diversas, suplantación de identidad y fraudes de distinta índole.
A continuación, repasaremos 10 casos recientes en los que los cibercriminales apuntaron al deporte para encontrar (con mucha puntería) nuevas víctimas desprevenidas o desprotegidas.
1- La canasta llena de datos
La NBA (National Basketball Asociation) advirtió, en marzo de 2023, sobre la violación de datos en uno de sus proveedores de servicios de correo externo. ¿El resultado del incidente? Robo de nombre y direcciones de correo electrónico.
En el comunicado titulado «Aviso de incidente de ciberseguridad», sugirió a los destinatarios que la información robada podría ser utilizada en ataques de phishing e ingeniería social, por lo que aconsejó que permanezcan alertas ante cualquier correo que pareciese provenir de la NBA o entidades asociadas.
A su vez, remarcó que sus sistemas no fueron vulnerados, y que los nombres de usuarios y contraseñas de sus usuarios tampoco se vieron comprometidos. De todas maneras, la NBA activó sus protocolos de respuesta a incidentes, y encabezó una investigación para analizar en profundidad el incidente.
2- Sonó la chicharra
Es común en los partidos de básquet que al finalizar un cuarto suene una chicharra para dar aviso de que el tiempo reglamentario de juego está cumplido y que ya ninguna canasta es válida. En este caso, la chicharra sonó pero para dar aviso de la filtración de datos que sufrió el equipo francés ASVEL, en manos de la banda de ransomware NoEscape.
El club, comandado por la estrella ya retirada Tony Parker, reconoció haber sido víctima de un ataque en octubre de 2023, tras la alerta recibida el día 12 de ese mes. «LDLC ASVEL lamentablemente puede confirmar hoy que efectivamente ha sido víctima de una violación de su sistema informático, con exfiltración de datos», afirma el comunicado emitido por la institución.
La filtración se compone de 32 GB de datos, que incluye información de los jugadores (como pasaportes y documentos de identidad), contratos, acuerdos de confidencialidad y diversa documentación legal.
3- Houston, tenemos un problema
La icónica frase seguramente volvió a escucharse durante abril del 2021, fecha en la que los Houston Rockets fueron víctimas del ransomware Babuk Locker. ¿Cómo afectó este ciberataque a uno de los equipos de la NBA? Según los propios atacantes, con la filtración de más de 500 GB de información confidencial, entre los que se destacan contratos de sus jugadores, y datos de clientes y financieros.
Si bien el ransomware Babuk no es uno de los más complejos, aún sigue siendo lo suficientemente peligroso y fue responsable de ataques a empresas de sectores como la salud y empresas de logística.
4-Estafa mundial
El fútbol es por excelencia el deporte con más aficionados y aficionadas en todo el planeta tierra. No llama la atención entonces que el Mundial que se desarrolla cada cuatro años sea la excusa perfecta para que los ciberatacantes lleven adelante sus engaños y estafas. En la previa a la última competición, hubo estafas vinculadas a los álbumes de figuritas.
En Brasil se registró una campaña en WhatsApp cuyo objetivo era lograr que la víctima descargue una app de dudosa reputación para escanear códigos QR.
Muy comunes también fueron los correos de phishing haciendo creer a las personas que ganaron un sorteo o entradas; los sitios falsos utilizados para robar datos personales, credenciales, datos financieros, u otra información sensible; y las estafas vinculadas a la venta de entradas en las que los cibercriminales se contactaban por correo electrónico haciéndose pasar por FIFA ofreciendo tickets.
5- En Boca de todos
El Club Atlético Boca Juniors cuenta con un reconocimiento a nivel mundial envidiable: su gesta épica contra el Real Madrid de Roberto Carlos, Raúl y Luis Figo entre otros cracks en la final de la Copa Intercontinental del 2000, hizo que se ganara el respeto de varios… Menos de los cibercriminales.
¿Qué sucedió? El 16 de septiembre de 2022 sufrió un ataque que comprometío a la cuenta oficial de YouTube del club que, usurpada por los atacantes, comenzó a compartir información sobre la criptomoneda Ethereum. Ante esto, Boca emitió un comunicado oficial en Twitter (léase X) asegurando que se encontraban trabajando para reestablecer la cuenta, lo que logró a las pocas horas.
6-Un incidente Real
Toda la tranquilidad que la Real Sociedad vive en el plano futbolístico, con buenas perspectivas en la Champions League y La Liga, se vio sacudida el 18 de octubre de 2023, cuando el club de fútbol de San Sebastián confirmó haber sido víctima de un ciberataque mediante un escueto comunicado.
Este incidente afectó aquellos servidores que almacenan datos sensibles como nombres, apellidos, direcciones postales, casillas de correo electrónico, números de teléfono y hasta cuentas bancarias de sus abonados y accionistas. Ante esto, el club de inmediato sugirió a los afectados y afectadas que revisen sus cuentas, por si se produjeron movimientos extraños, además de poner una casilla de mail a fin de que las personas afectadas o con consultas puedan solicitar información adicional.
7-Gol en contra
Más de 1 millón de datos confidenciales de empleados y miembros de la organización. Ese fue el botín del ataque cibernético sufrido por la Real Asociación Holandesa de Fútbol (KNVB), sobre el cual se tuvo noticias en abril de 2023. Lo cierto es que la institución que nuclea las principales ligas profesionales del país, confirmó que detrás de este incidente se encontraba la reconocida banda de ransomware LockBit, que adicionalmente se atribuyó el mérito del ataque.
Entre los potenciales afectados se incluyen padres o tutores de jugadores menores transferidos entre 2014 y 2019, jugadores traspasado entre 2015 y 2021 en el ámbito internacional, jugadores que se hayan desempeñado profesionalmente entre 2016 y 2018, quienes hayan enviado declaraciones a la KNVB entre 2010 a 2022, las personas que hayan entrado en contacto con el Centro Médico Deportivo KNVB y también quienes hayan estado involucrados en asuntos disciplinarios de 1999 a 2020.
8-Ataque sobre ruedas
Con la misma velocidad que sus vehículos recorren las pistas, los cibercriminales pudieron acceder a los sistemas de la escudería Ferrari y llevar a cabo una filtración de datos, durante marzo de 2023. «Lamentamos informar de un incidente cibernético en el que un actor amenazador pudo acceder a un número limitado de sistemas en nuestro entorno de TI», afirmó la prestigiosa empresa italiana de autos deportivos, que tantos galardones ostenta en la Fórmula 1.
Según informó Ferrari, mediante esta filtración, el ciberatacante tuvo acceso a información sensible y personal de sus clientes como nombres, direcciones, correos electrónicos y números de teléfono.
9-Malware olímpico
El condado surcoreano de Pieonchang estaba vestido de gala para la gran inauguración de los Juegos Olímpicos de Invierno de 2018. ¿Pero qué sería de una gran fiesta sin invitados? Bueno, eso fue lo que intentó hacer Olympic Destroyer, ciberataque a la infraestructura de IT que durante la ceremonia de apertura impidió que muchos espectadores pudieran imprimir su ticket de ingreso.
¿Cuál era el impacto real de esta amenaza? Dejaba inutilizados aquellos equipos con sistema operativo Windows, borraba la información que encontrase en el equipo y buscaba las ubicaciones de red para continuar con el borrado de información. Una vez infectado el equipo, el código mutaba con la finalidad de robar aquellas credenciales introducidas por el usuarios. También era capaz de instalar softwares sofisticados para robar contraseñas. Los principales afectados fueron el sitio oficial de la competición, los servidores de red de las estaciones de esquí y la empresa proveedora de los servicios informáticos.
10-Historia clínica (y pública)
La Agencia Mundial Antidopaje, también conocida como AMA o WADA por su traducción al inglés, sufrió en 2016 una filtración que derivó en la exposición de datos médicos de estrellas deportivas de primer nivel (como las hermanas tenistas Venus y Serena Williams, y la gimnasta Simone Biles) y las autorizaciones de uso terapéutico (AUT). Puntualmente, las AUT permiten que un atleta pueda utilizar una sustancia o método prohibido, que haya sido prescripto para tratar una afección médica legítima.
AMA indicó que tras el ataque se encuentra el grupo ruso Fancy Bears y aseguró en su comunicado que «la actividad delictiva emprendida por este grupo de ciberespionaje, que pretende socavar el programa de AUT y el trabajo de la AMA y sus socios en la protección del deporte limpio, es un golpe bajo a los atletas inocentes cuyos datos personales han sido expuestos». Biles se expresó tras la filtración y reconoció haber tomado medicamentos para el trastorno por déficit de atención e hiperactividad durante mucho tiempo, pero que siempre fue siguiendo las reglas.
Conclusión
Como cada industria que mueve millones y es popular, la deportiva no queda exenta de los ataques cibercriminales. De hecho, los casos repasados en este artículo son solo algunos de los cientos que ocurren a diario. La seguridad y protección no debe ser un juego, ya que los cibercriminales no atacan por deporte, sino porque para ellos es un negocio grande y redituable.
