Filtración de datos de Bonobos

El registro de Bonobos incluye una amplia variedad de campos verificados: direcciones de correo electrónico, nombres, direcciones IP, números de teléfono, direcciones postales, historial de compras, información parcial de tarjetas de crédito, contraseñas y contraseñas anteriores. Los datos parciales de tarjetas pueden incluir detalles de pago como el tipo de tarjeta, el nombre que figura en ella, la fecha de vencimiento y los últimos cuatro dígitos. Estos campos no sustituyen al número completo de la tarjeta; sin embargo, pueden utilizarse para hacer más convincentes los mensajes de phishing.

La combinación del historial de compras y la información de direcciones facilita la creación de mensajes falsos sobre envíos, devoluciones, facturas, promociones o verificaciones de cuentas adaptados al usuario. El almacenamiento de contraseñas como hashes SHA-512 con sal proporciona una importante capa de protección; sin embargo, el riesgo persiste cuando las contraseñas antiguas o reutilizadas se comparan con otros conjuntos de datos. La inclusión de contraseñas anteriores también es importante, ya que puede revelar patrones de las contraseñas que el usuario utilizó en el pasado.

El alcance verificado de este registro es de 2 811 929 direcciones de correo electrónico únicas. Las categorías de datos del registro son direcciones de correo electrónico, contraseñas anteriores, direcciones IP, nombres, datos parciales de tarjetas de crédito, contraseñas, números de teléfono, direcciones postales e información de compras. Los números completos de tarjetas de crédito, los códigos de seguridad de las tarjetas y la información de cuentas bancarias no figuran entre los campos verificados de este registro. Es importante mantener esta distinción tanto para no minimizar el riesgo como para no exagerarlo al incluir campos no verificados.

El incidente afecta a datos de clientes de Bonobos y no debe suponerse automáticamente que también hubo filtraciones en otras marcas minoristas del mismo grupo empresarial. La cifra del registro corresponde al número de direcciones de correo electrónico únicas afectadas; las líneas de pedidos, los registros de tarjetas o los registros de direcciones pueden dar lugar a cifras distintas. El impacto principal que se muestra al usuario debe evaluarse a partir del número de cuentas únicas verificadas y de las categorías de datos enumeradas.

El grupo con mayor riesgo está formado por clientes que tienen una cuenta de Bonobos, han realizado compras anteriormente y han utilizado la misma contraseña en otras cuentas de comercio electrónico o de correo electrónico. Los usuarios cuyos datos incluyen direcciones, números de teléfono e historial de pedidos pueden ser objeto de mensajes falsos sobre entregas, devoluciones, actualizaciones de datos de pago o atención al cliente. La información parcial de tarjetas puede proporcionar a los atacantes detalles que refuercen la impresión de que el usuario es realmente cliente de Bonobos.

Debido a la presencia de campos de contraseñas anteriores, deben considerarse un riesgo no solo la contraseña utilizada en el momento de la filtración, sino también los patrones de contraseñas empleados previamente. Si cree que ha seguido utilizando su antigua contraseña con pequeños cambios en otras cuentas, debe dar prioridad a la actualización de esas cuentas. En particular, las cuentas de correo electrónico, los sitios de compras, los servicios de pago, las cuentas de servicios de envío y las cuentas de redes sociales pueden verse directamente afectadas por estas combinaciones de datos.

Si encuentra una coincidencia en este registro, lo primero que debe hacer es cambiar la contraseña de su cuenta de Bonobos y de cualquier otra cuenta en la que pueda haber utilizado la misma contraseña. Debe crear contraseñas únicas, largas y difíciles de adivinar para cada cuenta con ayuda de un gestor de contraseñas. Dado que las contraseñas anteriores también pueden haber quedado expuestas, no debe volver a utilizar patrones antiguos ni variantes similares. Las cuentas de correo electrónico y las relacionadas con pagos deben protegerse de forma prioritaria.

Debe tener precaución ante notificaciones de envío, formularios de devolución, verificaciones de pago, actualizaciones de tarjetas o mensajes de descuentos especiales que sean falsos. En lugar de iniciar sesión a través de enlaces recibidos, acceda directamente al servicio correspondiente, no abra archivos adjuntos inesperados y revise regularmente los movimientos de sus tarjetas. Si su banco o proveedor de tarjetas ofrece alertas de transacciones inusuales, actívelas. Utilizar autenticación de dos factores en las cuentas más importantes proporciona protección adicional.

El incidente de Bonobos demuestra que las cuentas de comercio electrónico no solo facilitan las compras, sino que también reúnen un amplio perfil de datos personales. Debe revisar periódicamente las direcciones, los registros relacionados con pagos y la información de pedidos anteriores almacenados en sus cuentas de tiendas. Cierre las cuentas que ya no utilice, elimine los métodos de pago guardados si es posible y limite las direcciones de entrega a las que necesite actualmente. Utilizar la misma dirección de correo electrónico en todos los sitios de compras también puede aumentar el riesgo de phishing dirigido.

Desde la perspectiva de la seguridad corporativa, proteger los datos del comercio minorista exige abordar de forma conjunta la gestión de copias de seguridad, el control de acceso, el almacenamiento de contraseñas, la segmentación de los datos de pago y los procesos de notificación de incidentes. Por parte del usuario, deben combinarse las contraseñas únicas, la autenticación multifactor, el seguimiento de los movimientos de las tarjetas y la depuración periódica de las cuentas. Incluso si los hashes de las contraseñas son robustos, la combinación de datos de contacto y compras mantiene el riesgo de ingeniería social durante mucho tiempo.

Una coincidencia con su dirección de correo electrónico en este registro indica que está incluido en el conjunto de datos de Bonobos. Primero debe revisar qué contraseña utilizó en su cuenta de Bonobos, en qué otras cuentas la reutilizó y qué información personal figura en su cuenta de compras. Después, debe cambiar las contraseñas, especialmente las de las cuentas de correo electrónico, pagos, compras y servicios de envío.

Una coincidencia no demuestra que el número completo de la tarjeta haya quedado expuesto; sin embargo, la presencia conjunta de información parcial de tarjetas, direcciones, números de teléfono, historial de compras y hashes de contraseñas constituye una advertencia seria. Debe utilizar contraseñas únicas, activar la autenticación de dos factores, revisar los movimientos de sus tarjetas y verificar los mensajes directamente a través de un canal de confianza. Estas medidas reducen significativamente los riesgos de apropiación de cuentas, fraude dirigido y phishing que podrían derivarse de la filtración de Bonobos.