Filtración de datos de Canadian Tire de 2025

Los tipos de datos verificados son fechas de nacimiento, direcciones de correo electrónico, información de género, nombres, datos parciales de tarjetas de crédito, contraseñas, números de teléfono y direcciones físicas. No debe suponerse que todos estos campos estén presentes en cada registro; se ha informado de la presencia de fechas de nacimiento y datos parciales de tarjetas en un subconjunto. El alcance principal abarca una cobertura muy amplia de datos de contacto de clientes y hashes de contraseñas PBKDF2.

El formato de hash PBKDF2 no equivale a una contraseña en texto plano; sin embargo, el riesgo persiste cuando las contraseñas son débiles o se reutilizan. La información parcial de una tarjeta no basta por sí sola para efectuar un pago, pero puede utilizarse para generar confianza en mensajes falsos de atención al cliente, verificación de pagos o reembolsos. Los nombres, números de teléfono y direcciones también hacen que estos mensajes resulten más convincentes.

La fecha verificada del incidente es el 2 de octubre de 2025, y el alcance verificado que puede analizarse comprende 38 306 562 direcciones de correo electrónico únicas. Los aproximadamente 42 millones de registros del conjunto de datos no corresponden directamente al mismo número de personas únicas. Un mismo cliente puede aparecer en varias direcciones, transacciones, cuentas o vías de comunicación. Por ello, debe distinguirse entre el número de registros y el número de direcciones de correo electrónico únicas.

En este registro no se afirma que se hayan filtrado datos de cuentas bancarias, datos del programa de fidelización, números completos de tarjetas de crédito, códigos de seguridad de tarjetas, contraseñas en texto plano ni documentos de identidad oficiales. El alcance verificado se limita a campos de contacto de clientes, hashes de contraseñas PBKDF2, fechas de nacimiento presentes en un subconjunto y datos parciales de tarjetas. El riesgo está más relacionado con la seguridad de la cuenta y el fraude dirigido a clientes de comercios que con la realización directa de pagos con tarjeta.

Los clientes que hayan abierto una cuenta de Canadian Tire, comprado en línea, facilitado una dirección de entrega o utilizado la misma contraseña en distintas cuentas de comercios y de correo electrónico pueden estar en riesgo. La reutilización de contraseñas es uno de los riesgos más importantes. Si se utiliza la misma contraseña en cuentas de correo electrónico, compras, redes sociales, trabajo o servicios relacionados con pagos, esas cuentas también pueden ser objeto de ataques.

Los usuarios cuyos datos parciales de tarjeta y fecha de nacimiento estén en el subconjunto deben extremar la precaución ante mensajes falsos de verificación de pagos y confirmación de identidad. Los mensajes falsos sobre reembolsos, garantías, entregas, campañas, puntos de fidelización o actualizaciones de pagos pueden apoyarse en información real del cliente. Que un mensaje incluya el tipo de tarjeta, los últimos cuatro dígitos, la dirección o el número de teléfono no demuestra que la solicitud sea auténtica.

Los usuarios para los que se detecte una coincidencia deben asegurarse de que la contraseña que utilizan en su cuenta de Canadian Tire no se reutilice en ninguna otra cuenta. Si han utilizado la misma contraseña o una similar en otros servicios, deben sustituir las contraseñas de esas cuentas por contraseñas únicas. Deben revisarse primero las cuentas de correo electrónico, las cuentas de compras y los servicios vinculados a pagos. Siempre que sea posible, debe activarse la autenticación de dos factores.

Los usuarios deben mantener activadas las notificaciones del proveedor de la tarjeta y comprobar por canales oficiales cualquier mensaje inesperado de verificación de pagos, reembolsos, entregas o actualización de direcciones. No deben responder a mensajes que soliciten el número completo de la tarjeta, el código de seguridad, información bancaria, un código de verificación o la contraseña de la cuenta. Incluso un mensaje que contenga información parcial de la tarjeta puede indicar que el atacante está utilizando un conjunto de datos.

Los grandes conjuntos de datos de comercios generan riesgos a largo plazo cuando incluyen hashes de contraseñas e información parcial relacionada con pagos. Los usuarios deben utilizar una contraseña única para cada cuenta de compras, optar preferentemente por un gestor de contraseñas y cerrar periódicamente las cuentas de compras antiguas. También deben revisar con regularidad las direcciones y los métodos de pago registrados.

Para las organizaciones, no basta con almacenar hashes de contraseñas mediante métodos robustos; las comunicaciones con los clientes, las direcciones y los campos parciales de tarjetas también pueden utilizarse para cometer fraude. Deben reducirse los plazos de conservación de datos, limitarse los campos parciales de tarjetas que no sean necesarios y distinguirse claramente, en las notificaciones a los clientes, el alcance de la afectación de los datos bancarios, de fidelización y de tarjetas. Por parte de los usuarios, las notificaciones de tarjetas, las contraseñas únicas y el hábito de iniciar las operaciones a través de canales oficiales ofrecen una protección duradera.

Encontrar una coincidencia con una dirección de correo electrónico en este registro indica que esa dirección está incluida en el conjunto de datos de clientes de Canadian Tire. Una coincidencia no significa que se hayan filtrado datos de cuentas bancarias, datos del programa de fidelización, el número completo de la tarjeta o una contraseña en texto plano. El usuario debe determinar primero qué cuenta y contraseña utilizó con esa dirección de correo electrónico y en qué otros servicios reutilizó la misma contraseña.

Las medidas adecuadas son cambiar las contraseñas reutilizadas, proteger la cuenta de correo electrónico, estar pendiente de las notificaciones de la tarjeta, verificar los mensajes de entrega y devolución por canales oficiales y tratar con cautela los mensajes que contengan información parcial de la tarjeta. Por su gran escala, sus hashes de contraseñas y sus datos parciales de tarjetas, este registro debe considerarse prioritario en materia de seguridad de la cuenta y fraude en el comercio minorista.