El incidente habría tenido lugar en diciembre del año pasado y, de acuerdo con lo que se indica por parte de la compañía, cientos de trabajadores y proveedores podrían verse afectados por la exposición de datos sensible.
La multinacional WK Kellogg confirmó que fue una víctima de un ciberataque masivo dirigido contra el software de transferencia de archivos Cleo, utilizado por la empresa para enviar información a sus proveedores de recursos humanos. La compañía notificó a empleados y socios que datos sensibles fueron robados durante el incidente de ciberseguridad, parte de una ola de ataques atribuidos al grupo de ransomware Clop.
La violación fue detectada el 27 de febrero de 2025, aunque el acceso no autorizado se produjo el 7 de diciembre del año anterior. “WK Kellogg aprendió el 27 de febrero de 2025 que pudo haber ocurrido un incidente de seguridad relacionado con Cleo”, indica el aviso enviado por la empresa. “WK Kellogg inició de inmediato una investigación. Contactamos a Cleo, y Cleo nos informó que una persona no autorizada accedió el 7 de diciembre de 2024 a los servidores que alojaban para nosotros y que se usaban para transferir archivos de empleados a nuestros proveedores de servicios de recursos humanos”.
El ataque se llevó a cabo mediante dos vulnerabilidades de día cero identificadas como CVE-2024-50623 y CVE-2024-55956. Estas fallas permitieron a los atacantes comprometer los servidores afectados y extraer datos confidenciales, en un ataque masivo orquestado por Clop a finales del año pasado.
Aunque WK Kellogg no menciona explícitamente al grupo Clop ni a los ataques relacionados, las fechas coinciden con la oleada de incidentes ocurridos en diciembre de 2024. La confirmación llega pocos días después de que Clop incluyera a WK Kellogg en su sitio de extorsión de filtración de datos, lo que sugiere que la organización criminal está comenzando a revelar más información sobre las empresas afectadas.
La notificación enviada a las autoridades indica que la información comprometida incluye nombres y números de seguridad social. Para mitigar los posibles daños, la empresa ofreció un año gratuito de monitoreo de identidad y servicios de protección contra fraudes a los afectados.
En el comunicado la empresa señaló también que estaban trabajando estrechamente con Cleo “para identificar las medidas de seguridad que implementaron tras la brecha del año pasado y prevenir que incidentes similares vuelvan a ocurrir”.
WK Kellogg es una empresa que se separó de la original Kellogg’s en octubre de 2023, y es considerada como una potencia en la industria alimentaria de los Estados Unidos con ingresos anuales de 2.700 millones de dólares. Entre sus marcas más reconocidas se encuentran cereales como All-Bran, Corn Flakes, Froot Loops y Frosted Flakes.
Kellogg se suma así a una creciente lista de compañías afectadas por los ataques explotando las vulnerabilidades del software Cleo, como el Western Alliance Bank, en el que se vieron involucrados datos personales de unos 22 mil clientes, los que fueron robados en un incidente similar.