- NASCAR presenta informes a los reguladores estatales que confirman el ataque de abril de 2025
- No se dijo cuántas personas fueron afectadas.
- La empresa ofrece monitoreo de crédito gratuito para las víctimas afectadas.
NASCAR confirmó que sufrió un ciberataque y una violación de datos en abril de 2025 en los que supuestamente se robó información personal de fanáticos de las carreras.
La organización presentó informes de violación de datos ante los fiscales generales de varios estados de EE. UU., describiendo lo que había sucedido y cómo respondió, y señalando que el ataque comenzó el 31 de marzo de 2025 y fue detectado y detenido el 3 de abril.
Durante ese período, la compañía afirmó que aseguró su red, trajo a expertos externos en ciberseguridad para analizar el incidente y notificó a las autoridades correspondientes.
La investigación posterior determinó que los atacantes robaron nombres y números de Seguro Social de personas.
Medusa se atribuye la responsabilidad
Si bien NASCAR no discutió la naturaleza del incidente ni la identidad de los actores de la amenaza, los operadores de ransomware conocidos como Medusa se habían atribuido la responsabilidad hace varios meses.
En abril de 2025, el grupo agregó NASCAR a su sitio de filtración de datos y exigió 4 millones de dólares en rescate, informó The Record, indicando que la fecha límite para el pago expiró el 19 de abril.
Se desconoce si NASCAR pagó o no el rescate exigido, pero no hay evidencia de que los datos se filtraran al público.
Medusa es un actor de amenazas activo con numerosas víctimas de alto perfil, entre ellas Toyota Financial Services (TFS), que fue atacada en noviembre de 2023, Minneapolis Public Schools (MPS), atacada en febrero de 2023, y Philippine Health Insurance Corporation (PhilHealth), que sufrió un incidente en septiembre de 2023.
Medusa recurre a la táctica habitual de doble extorsión: extrae archivos confidenciales del sistema antes de cifrar toda la red. De esta forma, si la víctima decide restaurar los archivos desde una copia de seguridad, el grupo puede amenazar con publicarlos en internet, lo que podría acarrear multas regulatorias, demandas colectivas y más.
No se sabe exactamente cuántas personas fueron afectadas por el ataque, pero a las víctimas se les han ofrecido servicios gratuitos de monitoreo de crédito durante un año, a través de Experian IdentityWorks.
