El minorista estadounidense de gafas de sol y de vista, Warby Parker, saldrá pronto a bolsa: antes del importante acontecimiento, la empresa ha revelado que ha sido investigada por su gestión de un delicado ciberataque.
Warby Parker investigada por su gestión de un ciberataque
La Oficina de Derechos Civiles lleva más de dos años ocupándose de una investigación relacionada con Warby Parker. La investigación se refiere a la gestión de la compañía de un ataque de ciberseguridad que tuvo lugar en 2018 y que afectó a miles de cuentas de sus clientes, según informó la empresa a través de un comunicado presentado antes de su oferta pública. De hecho, en los próximos días, Warby Parker saldrá a bolsa.
La investigación de la Oficina de Derechos Civiles tiene su origen en un incidente ocurrido hace tres años en el que «personas no autorizadas» supuestamente intentaron acceder a casi 200.000 cuentas de clientes de Warby Parker durante dos meses utilizando combinaciones de nombres de usuario y contraseñas procedentes de violaciones de datos no relacionadas. En ese momento, la empresa reveló que los hackers podrían haber accedido a los pedidos almacenados y a los datos del perfil de los clientes. Sin embargo, la empresa no había identificado ninguna prueba de que tal evento hubiera ocurrido realmente.
La investigación anunciada en vísperas de la salida a bolsa
Aunque Warby Parker reveló el ataque en 2018, la investigación no se había hecho pública hasta hace poco. El S-1 de Warby Parker, un documento de divulgación que todas las empresas deben presentar a la Comisión de Bolsa de Valores antes de una oferta pública, muestra que la OCR, una división del Departamento de Salud y Servicios Humanos de Estados Unidos, abrió una investigación y solicitó información sobre el incidente en 2019.
No se ha aclarado la naturaleza específica o las posibles infracciones de la investigación, aunque el comunicado dice que la investigación está relacionada con el cumplimiento de la empresa, la privacidad HIPAA, la seguridad y las normas de notificación de infracciones, que requieren que las empresas sigan ciertas directrices cuando se infringe la información sanitaria no protegida.
Por el momento, los portavoces de la OCR y de Warby Parker no han respondido a las solicitudes de comentarios sobre la investigación.
La OCR puede solicitar un acuerdo y un plan de acción correctiva de uno a tres años, entre otras acciones, según la presentación de Warby Parker ante la SEC. «Seguimos trabajando en una resolución con la OCR», dijo la empresa en el comunicado.
Warby Parker y la política de ciberseguridad
En el momento del incidente, Warby Parker explicó que restableció las contraseñas de las cuentas afectadas y realizó una investigación interna. También contrató a expertos externos en ciberseguridad para que les apoyaran en la revisión del incidente, que se comunicó específicamente a las fuerzas del orden.
Los incidentes de ciberseguridad y los intentos de piratería informática han aumentado exponencialmente desde el inicio de la pandemia, que ha afectado a empresas, organismos gubernamentales, escuelas y hospitales. La empresa admitió en el comunicado que puede ser más vulnerable a las brechas de seguridad en un entorno de trabajo remoto: «Aunque empleamos una serie de medidas de seguridad diseñadas para prevenir, detectar y mitigar el posible daño a nuestros usuarios por el robo o el mal uso de las credenciales de los usuarios en nuestra red, estas medidas pueden no ser eficaces en todos los casos.»
