LAS VEGAS. La compañía de casinos Caesars Entertainment se unió el jueves a su rival MGM Resorts International en Las Vegas al informar que fue afectada por un ciberataque, pero agregó en un informe a los reguladores federales que sus operaciones de casino y en línea no fueron interrumpidas.

La empresa, que cotiza en la bolsa y tiene su sede en Reno, dijo a la Comisión Federal de Bolsa y Valores que no podía garantizar que la información personal de decenas de millones de clientes estuviera segura tras la filtración de datos del 7 de septiembre, que podría haber expuesto los números del carné de conducir y de la Seguridad Social de miembros de programas de fidelización.

“Hemos tomado medidas para asegurar que los datos robados sean borrados por el actor no autorizado”, dijo la compañía, “aunque no podemos garantizar este resultado”.

Brett Callow, analista de amenazas de la firma de ciberseguridad Emsisoft, con sede en Nueva Zelanda, dijo que no estaba claro si se pagó un rescate o quién fue el responsable de la intrusión y del ataque reportado el lunes por MGM Resorts.

“Extraoficialmente, vimos que un grupo llamado Scattered Spider se atribuyó la responsabilidad”, dijo Callow. “Parecen ser hablantes nativos de inglés bajo el paraguas de una operación con sede en Rusia llamada ALPHV o BlackCat”.

Scattered Spider también es conocido como UNC3944, dijo Charles Carmakal, director técnico de la firma de ciberseguridad Mandiant.

Carmakal calificó al grupo de “increíblemente perturbador y agresivo” en sus recientes ataques contra empresas del sector de la hostelería y el ocio.

“Utilizan técnicas contra las que muchas organizaciones con programas de seguridad maduros no pueden defenderse”, afirmó Carmakal en un comunicado.

En un análisis publicado el jueves en su blog, Mandiant señala que el grupo utiliza el phishing por SMS y las llamadas telefónicas a los servicios de asistencia para intentar obtener el restablecimiento de contraseñas o códigos de desvío multifactor.

“Este operador relativamente nuevo en la industria del ransomware ha atacado al menos a 100 organizaciones, la mayoría de ellas en Estados Unidos y Canadá”, afirma Mandiant.

Caesars es el mayor propietario de casinos del mundo, con más de 65 millones de miembros de Caesars Rewards y propiedades en 18 estados y Canadá bajo las marcas Caesars, Harrah’s, Horseshoe y Eldorado. También tiene operaciones móviles y en línea y apuestas deportivas. Los responsables de la empresa no respondieron a las preguntas enviadas por correo electrónico por The Associated Press.

La empresa informó a la SEC de que a los clientes del programa de fidelización se les ofrecía supervisión crediticia y protección contra el robo de identidad.

No había pruebas de que el intruso obtuviera contraseñas de los miembros o información de cuentas bancarias y tarjetas de pago, informó la compañía, añadiendo que las operaciones en los casinos y en línea “no se han visto afectadas por este incidente y continúan sin interrupción.”

La revelación de Caesars se produjo después de que MGM Resorts International, la mayor empresa de casinos de Las Vegas, informara públicamente el lunes de que un ciberataque que detectó el domingo le llevó a apagar los sistemas informáticos de sus propiedades en todo Estados Unidos para proteger los datos.

MGM Resorts dijo que las reservas y las salas de casino de Las Vegas y otros estados se vieron afectadas. Los clientes compartieron historias en las redes sociales sobre la imposibilidad de realizar transacciones con tarjetas de crédito, obtener dinero de los cajeros automáticos o entrar en las habitaciones de hotel. Algunas máquinas tragamonedas de vídeo estaban a oscuras.

MGM Resorts cuenta con cerca de 40 millones de miembros con programas de fidelización y decenas de miles de habitaciones de hotel en Las Vegas, en establecimientos como MGM Grand, Bellagio, Aria y Mandalay Bay. También opera en China y Macao.

Un informe de la empresa remitido el martes a la SEC apuntaba a su comunicado de prensa del lunes. El FBI dijo que se estaba llevando a cabo una investigación, pero no ofreció más información.

Algunos sistemas informáticos de MGM Resorts seguían sin funcionar el jueves, incluidos los de reservas hoteleras y nóminas. Pero el portavoz de la empresa, Brian Ahern, dijo que se esperaba que sus 75,000 empleados en EE.UU. y en el extranjero cobraran a tiempo.

Callow, que habló por teléfono desde la Columbia Británica (Canadá), calificó de especulativas la mayoría de las versiones de los medios de comunicación sobre los incidentes, porque la información parecía proceder de las mismas entidades que afirman haber llevado a cabo los ataques. Dijo que la recuperación de los ciberataques puede llevar meses.

Callow se refirió a informes que calificó de “verosímiles” según los cuales se pidió a Caesars Entertainment que pagara 30 millones de dólares por una promesa de proteger sus datos y es posible que haya pagado 15 millones. También señaló que la empresa no describió en el informe de la SEC las medidas adoptadas para garantizar la seguridad de los datos robados.

El rescate más alto que se cree que se ha pagado a los ciberatacantes fue de 40 millones de dólares por el gigante de seguros CNA Financial, dijo Callow, después de una violación de datos en marzo de 2021.

“En estos casos, las organizaciones básicamente pagan para obtener una ‘promesa del meñique’”, dijo. “No hay forma de saber realmente que (los hackers) sí borran (los datos robados) o que no se utilizarán en otro lugar”.