Filtración de datos de bigbasket en 2020

Las categorías de datos verificadas son fechas de nacimiento, direcciones de correo electrónico, direcciones IP, nombres, contraseñas, números de teléfono y direcciones físicas. Esta combinación puede ayudar a los atacantes a utilizar un nombre real, datos de contacto y el contexto de las entregas para crear mensajes falsos sobre envíos, cancelaciones de pedidos, reembolsos o actualizaciones de dirección. Las contraseñas no estaban en texto plano; utilizaban el antiguo formato hash Django(SHA-1), que no se ajusta a las prácticas actuales de almacenamiento de contraseñas y no elimina el riesgo de que las contraseñas débiles se averigüen mediante intentos sin conexión. Las tarjetas de pago y las cuentas bancarias no figuran entre las categorías de datos verificadas para este registro.

La fecha de referencia de la filtración es el 14 de octubre de 2020. Hacia finales de octubre de 2020, se puso a la venta una base de datos que, según se afirmaba, ocupaba unos 15 GB y contenía cerca de 20 millones de filas de clientes. En noviembre de 2020, bigbasket declaró que estaba evaluando una posible filtración de datos, investigando su alcance con especialistas en seguridad y que había presentado una denuncia ante la Bengaluru Cyber Crime Cell. La empresa también afirmó que no almacenaba datos financieros ni números de tarjetas. Los datos se difundieron más ampliamente en abril de 2021, y el análisis de referencia verificó 24 500 011 direcciones de correo electrónico únicas. La estimación inicial de casi 20 millones de filas y las 24 500 011 direcciones de correo electrónico únicas no corresponden a la misma medida ni a la misma etapa del análisis. No se divulgó públicamente el método técnico exacto utilizado para acceder.

Los clientes que tenían una cuenta de bigbasket y compartieron un número de teléfono o una dirección de entrega durante el periodo afectado afrontan el riesgo más directo. Quienes reutilizaron la misma contraseña en cuentas de correo electrónico, compras, pagos o trabajo están más expuestos a intentos de inicio de sesión mediante contraseñas reutilizadas. La combinación de un nombre, un número de teléfono, una fecha de nacimiento y una dirección puede hacer más convincentes las llamadas falsas de atención al cliente y los mensajes relacionados con entregas. Una dirección IP no revela por sí sola una ubicación exacta, pero, al combinarse con otros campos del perfil, puede aportar contexto para vincular cuentas y dirigir ataques.

Si todavía utiliza en alguna cuenta una contraseña que usó en bigbasket durante el periodo de la filtración, cámbiela de inmediato y deje de usar variantes similares. Proteja primero su cuenta de correo electrónico, revise las sesiones activas y las opciones de recuperación, y active la autenticación multifactor cuando esté disponible. No abra enlaces enviados con el pretexto de un pedido, un cupón, un reembolso, una corrección de pago o una actualización de dirección; acceda por su cuenta al sitio web que conoce o a la aplicación oficial. Que un mensaje contenga su nombre real, su número de teléfono o su dirección no demuestra que el remitente sea legítimo, y nunca debe compartir códigos de verificación de un solo uso.

Utilice un gestor de contraseñas para generar una contraseña distinta para cada servicio y, cuando sea práctico, separe sus cuentas de compras mediante alias de correo electrónico específicos. Elimine las direcciones de entrega y los números de teléfono de las cuentas antiguas que ya no utiliza, y mantenga actualizados los datos de recuperación de sus cuentas. Mantenga activadas las alertas de inicio de sesión en sus cuentas de correo electrónico y financieras, y verifique por un canal independiente las notificaciones inesperadas de restablecimiento de contraseña o de pedidos. Como los datos difíciles de cambiar, como las direcciones y las fechas de nacimiento, pueden facilitar ataques de ingeniería social años después, no considere que el riesgo de este incidente queda resuelto con un único cambio de contraseña.

Consulte este registro con la dirección de correo electrónico que utilizó en bigbasket. Una coincidencia significa que la dirección aparece en el conjunto de datos de referencia de bigbasket; no significa que se haya expuesto información de tarjetas de pago o cuentas bancarias. Si el resultado es positivo, sustituya la contraseña antigua en todas las cuentas donde la haya reutilizado, dé prioridad a la seguridad de su correo electrónico y esté atento a las estafas relacionadas con entregas. Si el resultado es negativo, recuerde que solo se aplica a este conjunto de datos y no descarta una exposición en otras filtraciones.