Lista de datos para spam: Acuity

Las categorías de datos verificadas son fechas de nacimiento, direcciones de correo electrónico, géneros, direcciones IP, nombres, números de teléfono, direcciones postales y tratamientos. El archivo de origen tenía una estructura excepcionalmente amplia y ordenada, con 414 columnas, pero solo se muestran públicamente las ocho categorías verificadas de forma explícita. Las contraseñas, las tarjetas de pago y los números de documentos de identidad no son categorías verificadas y no deben considerarse expuestos. La combinación de nombre, fecha de nacimiento, número de teléfono, correo electrónico y dirección postal puede facilitar ataques de phishing dirigidos, llamadas de falsos servicios de asistencia, fraudes por correo postal e intentos de deducir las respuestas de verificación de identidad. La presencia de un campo no significa que estuviera cumplimentado, actualizado o correctamente vinculado a la misma persona en todas las filas. Al tratarse de un conjunto de datos agregados de origen no atribuido, una coincidencia no demuestra que una persona fuera cliente de ninguna empresa llamada Acuity.

La fecha del 18 de junio de 2020 se tomó del nombre del archivo «ACUITY_MASTER_18062020.csv»; no es una fecha confirmada de acceso al sistema ni de extracción de datos. El conjunto de datos, de aproximadamente 437 GB, se distribuyó ampliamente después y fue objeto de un análisis detallado de atribución en 2023. El archivo contenía 21 873 706 filas con direcciones de correo electrónico, de las cuales 14 055 729 eran únicas, por lo que el total de registros y el número de direcciones únicas afectadas son medidas distintas. El formato muy estandarizado, los numerosos valores diferentes en un campo «datasource» y el hecho de que casi todas las direcciones ya hubieran aparecido en otras colecciones de datos de filtraciones o de spam sugieren que un agregador de datos pudo haberlo recopilado, en lugar de tratarse de una tabla de usuarios sin procesar procedente de un único servicio. Esa posibilidad no demuestra que proceda de una organización concreta. No se pudo verificar con suficiente certeza que ninguna de las empresas llamadas Acuity de los sectores de salud, seguros, software, iluminación o programación de citas fuera el origen, por lo que el conjunto de datos no debe atribuirse a ellas.

Las personas en riesgo son aquellas cuyo correo electrónico aparece en el conjunto de datos y cuya fila puede vincular un nombre, teléfono, dirección, fecha de nacimiento, género, tratamiento o información contextual de IP. No es necesario que hayan tenido ninguna relación con una empresa llamada Acuity; los datos pueden haberse combinado a partir de listas de marketing, servicios antiguos o colecciones que ya estaban en circulación. Los empleados que utilizan direcciones de correo corporativas pueden recibir mensajes más convincentes sobre facturas, entregas, recursos humanos o asistencia cuando se dispone de información telefónica y postal. Los consumidores deben tener precaución ante mensajes falsos de bancos, empresas de transporte, aseguradoras u organismos públicos que combinen un nombre, una fecha de nacimiento y una dirección. Un formato ordenado no garantiza la exactitud: puede haber direcciones antiguas, números de teléfono reasignados y datos vinculados a la persona equivocada. Por tanto, los resultados deben interpretarse teniendo en cuenta tanto la exposición que supone un riesgo de seguridad como el riesgo de asociaciones erróneas.

No se verificó ningún campo de contraseña en este registro, por lo que una coincidencia con Acuity, por sí sola, no exige restablecer la contraseña como primera medida. Examine con mayor atención los correos electrónicos, las llamadas y los mensajes postales inesperados. No dé por hecho que un remitente es legítimo solo porque conoce un nombre, una fecha de nacimiento o una dirección; esos detalles pueden proceder de datos agregados. Verifique las solicitudes relacionadas con cuentas, pagos, entregas e identidad accediendo por su cuenta al sitio oficial de la organización, en lugar de seguir un enlace del mensaje. Nunca revele un código de un solo uso, una respuesta de seguridad ni una imagen de un documento de identidad. Active la autenticación multifactor en su correo electrónico, revise las sesiones sospechosas y bloquee las llamadas o los mensajes no deseados. Si recibe en su dirección avisos inesperados sobre créditos, suscripciones o cuentas, póngase en contacto con la organización indicada por un canal independiente. Considere recurrir a los procedimientos de eliminación y corrección de datos de los intermediarios de datos cuando la información sea inexacta o esté desactualizada.

Protegerse frente a las colecciones de datos agregados requiere un enfoque más amplio que asegurar una sola cuenta. Separar el correo electrónico personal del profesional, utilizar alias cuando resulte apropiado en formularios públicos y dejar vacíos los campos de perfil innecesarios dificulta la vinculación de registros de distintas fuentes. Utilice la autenticación multifactor en el correo electrónico y en las cuentas importantes, guarde contraseñas únicas en un gestor de contraseñas y revise periódicamente los datos de recuperación. Trate los números de teléfono, las fechas de nacimiento y las direcciones postales como identificadores fijos, no como contraseñas secretas; pida a los servicios de asistencia que no acepten esos campos por sí solos como prueba de identidad. Revise periódicamente las opciones para excluir sus datos de las bases de los intermediarios de datos y de las listas de marketing. Considere la vigilancia de su historial crediticio o de su identidad cuando estos servicios estén disponibles y sean proporcionales a su riesgo. Vigilar las nuevas coincidencias en filtraciones y mantenerse alerta ante el phishing reduce el impacto cuando la información antigua vuelve a agruparse y distribuirse años después.

Una coincidencia con Acuity en LeakData significa que la dirección de correo electrónico aparece en este conjunto de datos de origen no atribuido; no demuestra que usted fuera cliente de una empresa Acuity concreta ni que esa empresa perdiera sus datos. Tampoco demuestra que las ocho categorías de datos estuvieran cumplimentadas o fueran exactas en su fila. Considere el resultado una advertencia de que la información de contacto puede haber circulado en listas de marketing o de spam. Nunca introduzca una contraseña real, una fecha de nacimiento ni una dirección postal en un campo de búsqueda de filtraciones. La ausencia de coincidencias no garantiza de forma absoluta que la información personal no figure en otras colecciones. Vigile las alertas de seguridad de su correo electrónico, verifique los mensajes sospechosos por canales independientes y mantenga activada la autenticación multifactor. La respuesta adecuada es gestionar la exposición y el riesgo de fraude dirigido sin atribuir responsabilidades a una organización cuyo vínculo no se ha verificado.