Hackeo a Mercado Libre fue peor de lo previsto

El hackeo a Mercado Libre del 6 de marzo de 2022 afectó a más usuarios mexicanos de lo informado inicialmente. En su momento, esta compañía líder en el sector del comercio electrónico en México notificó que el incidente de ciberseguridad había afectado a 50,000 cuentas de usuarios mexicanos. Hoy se sabe que son más. ¿Cuántas? Mercado Libre no lo ha informado, pero ya comenzó a notificar a los afectados para que tomen precauciones.

“Queremos avisarte que en marzo hubo un acceso no autorizado a una parte del código fuente de Mercado Libre y detectamos que se expusieron algunos datos personales de tu cuenta, como por ejemplo tu e-mail”, se lee en un correo electrónico enviado por la compañía a usuarios en México el viernes 22 de abril, 47 días después de ocurrido el incidente.

“Si te contactan de parte de Mercado Libre, nunca les des tu clave ni tus códigos de acceso. El código de seguridad se genera solo si tú lo pides a través de la app o la web. Por eso, ningún empleado legítimo de Mercado Libre lo puede generar por ti, ni te lo va a pedir para gestionar una consulta”, se lee en el correo.

El equipo de comunicación de Mercado Libre dijo el viernes a El Economista que estas nuevas notificaciones no están relacionadas con un nuevo incidente de ciberseguridad, sino con una ampliación de las afectaciones provocadas por el ataque del 6 de marzo.

“En seguimiento a los estrictos protocolos de seguridad y al proceso de análisis exhaustivo que mantenemos de forma activa a partir del acceso no autorizado al código fuente de Mercado Libre, Inc., se han identificado más cuentas alcanzadas por este incidente ocurrido en marzo pasado”, informó Mercado Libre en una tarjeta informativa para este medio.

El 6 de marzo pasado, uno o varios atacantes vulneraron la seguridad informática de Mercado Libre —una compañía de origen argentino que cotiza en la Bolsa de valores de Nueva York— y accedieron al código fuente de la compañía. Como parte del ataque, el o los intrusos lograron obtener datos personales de 300,000 cuentas de usuarios (0.21% del total de la compañía); 50,000 de ellas mexicanos (0.03% del total global).

El 9 de marzo, como parte de las respuestas a un cuestionario enviado por El Economista, el equipo de comunicación de Mercado Libre informó que “La cuenta como tal de ningún usuario fue comprometida. Tampoco hubo compromiso de nuestra infraestructura ni acceso a nuestras bases de datos”.

De acuerdo con esa información, el o los atacantes sólo obtuvieron nombres de cuentas y de los correos electrónicos vinculados a ellas. “Tampoco hubo compromiso de nuestra infraestructura ni acceso a nuestras bases de datos. Ningún servicio ni plataforma se vio afectada en su operación”.

Mercado Libre es el mayor proveedor de comercio electrónico en México por el volumen de sus ventas, de acuerdo con datos de Euromonitor International, una casa de análisis de mercados con sede en Londres. Las ventas de Mercado Libre representan 15.4% del total en el país, por encima de Amazon (13.2%), Walmart (9.6%), Liverpool (7.0%) y Coppel (6.8%).

“Manteniendo siempre una comunicación transparente y oportuna con nuestros usuarios, hoy [viernes 22 de abril] se generaron las notificaciones pertinentes a los recientemente detectados, para hacer de su conocimiento que en sus cuentas no se ha visto comprometida información como contraseñas de usuarios, balances de cuenta, inversiones, información financiera o de tarjetas de pago”, dijo Mercado Libre en la tarjeta informativa solicitada por El Economista.

Se desconoce el número de cuentas en México afectadas por encima de las 50,000 cuentas notificadas inicialmente por Mercado Libre. De acuerdo con la compañía, en la comunicación del 9 de marzo ya citada, se han seguido “los protocolos y lineamientos que se demandan en este tipo de situaciones ante las autoridades y entes que corresponden”.