Conjunto de datos de una filtración no verificada atribuida a CDEK (2022)

Los tipos de datos que pueden incluirse en este registro sin ir más allá de las pruebas disponibles se limitan a direcciones de correo electrónico, nombres y números de teléfono. La cifra registrada es de 19 218 203 direcciones de correo electrónico únicas; no debe interpretarse como un recuento confirmado de cuentas de clientes de CDEK, registros de entregas o personas. Una persona puede tener varios datos de contacto, y no se ha demostrado de forma independiente que los datos procedieran de los sistemas de CDEK. Las direcciones de correo electrónico pueden facilitar el phishing y la identificación de cuentas, los números de teléfono permiten enviar mensajes de texto y realizar llamadas fraudulentas, y los nombres permiten personalizar los mensajes. La asociación con una marca de mensajería puede hacer más convincentes las estafas relacionadas con entregas, tasas aduaneras, actualizaciones de dirección o devoluciones. Las contraseñas, las direcciones físicas, los datos de pasaportes, los datos de pago, el historial de envíos y el contenido de los paquetes no son tipos de datos verificados en este registro; incluirlos excedería las pruebas disponibles.

En marzo de 2022, un colectivo hacktivista publicó más de 30 GB de datos que, según afirmaba, procedían de la marca rusa de mensajería y logística CDEK. La fecha del registro, el 9 de marzo de 2022, corresponde al conjunto de datos publicado; no demuestra que ese día se accediera a la red de CDEK ni que se extrajeran datos. El material se indexó el 17 de marzo y su autenticidad siguió clasificada como «no verificada». Las pruebas públicas independientes no han permitido determinar si procedía directamente de CDEK, de un tercero o de una combinación de otras fuentes. No se dieron a conocer de forma fiable el método de acceso inicial, los sistemas afectados, el tiempo de permanencia en una red ni las fechas de creación de los registros. Por tanto, el suceso no puede clasificarse como una filtración interna confirmada de la empresa, un incidente de un proveedor o la explotación de una vulnerabilidad concreta. El valor «Desconocido» del campo de origen refleja este límite de las pruebas, en lugar de atribuir una causa técnica sin fundamento.

Las personas cuyo correo electrónico, nombre o teléfono aparezca en el conjunto de datos pueden estar expuestas a riesgos de ingeniería social, pero una coincidencia no demuestra que fueran clientes de CDEK ni que la información procediera de CDEK. Los atacantes pueden combinar datos de contacto para crear mensajes sobre paquetes retrasados, entregas fallidas, direcciones faltantes, devoluciones, cargos aduaneros o llamadas de atención al cliente. Un número de teléfono permite dirigir ataques mediante mensajes de texto, llamadas y aplicaciones de mensajería; el correo electrónico facilita el uso de páginas de inicio de sesión falsas, archivos adjuntos maliciosos y la identificación de cuentas. Dado que no se ha verificado la presencia de contraseñas, una coincidencia no significa que se haya expuesto una contraseña ni que alguien haya tomado el control de una cuenta. La cifra de 19,2 millones tampoco demuestra que cada fila contenga los tres tipos de datos ni que cada dato siga vigente. La posible exposición, el fraude consumado y el compromiso confirmado son resultados distintos.

Antes de seguir un enlace en un mensaje inesperado sobre un paquete, consulte el envío mediante la aplicación de la empresa de transporte o escribiendo la dirección de su sitio web y verifíquelo por un canal oficial. Utilice los datos de contacto del sitio web de la empresa, no un número incluido en el mensaje. Rechace las solicitudes de datos de tarjetas, contraseñas o códigos de un solo uso que se presenten como necesarias para corregir una dirección, pagar un cargo aduanero, programar una nueva entrega o gestionar una devolución. Active la autenticación multifactor en su correo electrónico, revise los datos de recuperación y las sesiones, y elimine las reglas de reenvío o las contraseñas de aplicación que no reconozca. Como aquí no se ha verificado la presencia de contraseñas, esta coincidencia por sí sola no demuestra que se haya filtrado una contraseña de CDEK; cambie las contraseñas reutilizadas en otros incidentes. Denuncie los mensajes de texto sospechosos y las páginas fraudulentas, y contacte de inmediato con su banco si detecta un pago no autorizado.

Utilizar alias de correo electrónico distintos para compras y entregas puede ayudarle a identificar con qué registro está relacionado un mensaje y facilitar la detección de fraudes. Una contraseña diferente para cada servicio, guardada en un gestor de contraseñas, limita el riesgo de que alguien tome el control de sus cuentas a partir de otros incidentes, aunque aquí no se haya verificado ningún caso. Utilice la autenticación multifactor en su correo electrónico y en sus cuentas importantes, preferiblemente mediante una aplicación de autenticación o una llave de seguridad física. Configure un PIN con su operador móvil y alertas de portabilidad del número para reducir el riesgo de suplantación mediante cambio de SIM. Elimine las direcciones y los teléfonos obsoletos de sus perfiles en servicios de mensajería, desactive los permisos de marketing innecesarios y considere eliminar las cuentas que no utilice. Compruebe el dominio real del remitente en lugar de confiar en el nombre que se muestra, ya que los filtros no pueden detener todas las estafas. Los datos de contacto siguen siendo útiles durante años, por lo que conviene revisar periódicamente la posible exposición y la seguridad de sus cuentas.

Una coincidencia de correo electrónico significa que esa dirección apareció en el conjunto de datos no verificado publicado en marzo de 2022 y atribuido a CDEK. No demuestra que la persona fuera cliente de CDEK, que los datos salieran de los sistemas de la empresa, que una cuenta se viera comprometida ni que se expusiera una contraseña. Considérela una advertencia: examine con cuidado los correos electrónicos y los mensajes recibidos por teléfono relacionados con entregas, y revise las sesiones y las opciones de recuperación de sus cuentas importantes. La ausencia de coincidencias no es una garantía absoluta de seguridad, ya que podría haber utilizado otra dirección, figurar únicamente en un campo de teléfono o nombre, o estar incluido en otro conjunto de datos no verificado. Los servicios de comprobación solo abarcan el material indexado. Mantenga las expresiones «atribuido a CDEK» y «no verificado»; no comparta el resultado como si se tratara de una filtración confirmada de la empresa. Ante mensajes sospechosos, evalúe conjuntamente el dominio real del remitente, el destino del enlace, la presión para actuar y las solicitudes de pago o de códigos de verificación.