El Washington Post notifica a casi 10.000 empleados y contratistas que algunos de sus datos personales y financieros han quedado expuestos en el ataque de robo de datos de Oracle.
La organización de noticias es uno de los diarios más grandes de EE. UU. con aproximadamente 2,5 millones de suscriptores digitales.
Entre el 10 de julio y el 22 de agosto, los actores de amenazas accedieron a partes de su red. Aprovecharon una vulnerabilidad en el software Oracle E-Business Suite que en ese momento era de día cero para robar datos confidenciales.
A finales de septiembre, los piratas informáticos intentaron extorsionar al Washington Post, junto con otras empresas importantes a las que habían violado de la misma manera.
Los piratas informáticos aprovecharon una vulnerabilidad de día cero en el software Oracle E-Business Suite que el Washington Post utilizó internamente, robaron datos y luego intentaron extorsionar a la empresa a finales de septiembre.
Oracle E-Business Suite es una plataforma de planificación de recursos empresariales (ERP) ampliamente utilizada con funciones de recursos humanos, finanzas y cadena de suministro que las grandes organizaciones utilizan internamente.
Según la notificación del Washington Post a las personas afectadas, Oracle reveló la vulnerabilidad de seguridad mientras la organización de noticias investigaba el incidente de violación.
«El 29 de septiembre de 2025, el Post fue contactado por un mal actor que afirmó haber obtenido acceso a sus aplicaciones Oracle E-Business Suite». describe la carta.
«En respuesta, el Post inició una investigación exhaustiva de su entorno de aplicaciones Oracle con la asistencia de expertos para determinar si se había accedido al entorno sin autorización».
«Durante la investigación, Oracle anunció que había identificado una vulnerabilidad previamente desconocida y generalizada en su software E-Business Suite que permitía a actores no autorizados acceder a las aplicaciones E-Business Suite de muchos clientes de Oracle».
Aunque los atacantes no aparecen nombrados en la carta, el grupo de ransomware Clop ha sido vinculado a estos ataquesexplotando una falla de día cero que ahora se rastrea como CVE-2025-61884.
Entre las organizaciones que fueron atacadas utilizando la misma vulnerabilidad en Oracle E-Business Suite se encuentran Universidad de Harvardfilial de American Airlines Enviado aéreoy de Hitachi Lógica Global.
Estas son algunas de las víctimas que han confirmado una infracción o están investigando actividades sospechosas en sus entornos. Sin embargo, el sitio de filtración de datos de Clop enumera una mayor cantidad de organizaciones vulneradas.
La investigación del Post sobre el incidente concluyó el 27 de octubre y reveló que los siguientes tipos de datos pertenecientes a 9.720 empleados y contratistas habían sido comprometidos:
- Nombres completos
- Números de cuentas bancarias y números de ruta
- Números de Seguro Social (SSN)
- Números de impuestos y de identificación
Las personas afectadas recibieron una cobertura de servicio de protección de identidad gratuita durante 12 meses a través de IDX y se les recomienda considerar congelar su archivo de crédito y configurar alertas de fraude en su informe.
En junio, el Washington Post anunció que las cuentas de correo electrónico de varios de sus periodistas había sido comprometido en un ciberataque llevado a cabo por actores estatales extranjeros.
Si bien los dos incidentes ocurrieron poco después, hay evidencia de una conexión entre ellos.
BleepingComputer se ha puesto en contacto con The Washington Post con preguntas adicionales y actualizaremos esta publicación cuando recibamos una respuesta.
Ya sea que esté limpiando claves antiguas o estableciendo barreras para el código generado por IA, esta guía ayuda a su equipo a construir de forma segura desde el principio.
Obtenga la hoja de trucos y elimine las conjeturas en la gestión de secretos.
