Filtración de datos de Chowbus

En una cuenta de Chowbus pueden verse juntos el nombre, la dirección de correo electrónico, el número de teléfono y la dirección física. Estos cuatro campos permiten que un atacante contacte con el usuario de forma directa y personalizada. La dirección física es especialmente relevante en el contexto de la entrega de comida y los restaurantes locales, ya que los usuarios están acostumbrados a recibir mensajes sobre entregas, pedidos, repartidores, devoluciones o verificación de direcciones. Esta costumbre puede hacer que los mensajes falsos resulten más convincentes. El número de teléfono, por su parte, aumenta el riesgo de fraude mediante mensajes de texto y llamadas.

En este incidente, al no haberse verificado la exposición de contraseñas ni de tarjetas de pago, la necesidad directa de cambiar la contraseña no es tan marcada como en las filtraciones centradas en credenciales. Sin embargo, los usuarios pueden ser dirigidos a páginas falsas de inicio de sesión mediante enlaces recibidos por correo electrónico o teléfono. Los mensajes elaborados con el nombre y la dirección pueden parecer avisos de entrega auténticos. Si se obtiene información adicional de otras fuentes, como el nombre del restaurante, datos de la zona o hábitos de entrega, el ataque puede personalizarse aún más. Por tanto, aunque los campos verificados sean limitados, el riesgo es real y estos ataques son factibles.

El número verificado de cuentas afectadas en este registro corresponde a 444 224 direcciones de correo electrónico únicas. Se ha informado de que el conjunto de datos más amplio asociado al incidente contenía más de 800 000 registros de clientes. Esta cifra no debe interpretarse como el número de usuarios únicos, ya que puede incluir registros duplicados o distintas filas correspondientes a una misma persona. En relación con el incidente de Chowbus también se mencionaron datos de restaurantes; sin embargo, en este registro los tipos de datos de usuarios se limitan al nombre, la dirección de correo electrónico, el número de teléfono y la dirección física.

Los límites del alcance deben quedar especialmente claros. En este registro no se ha verificado la exposición de contraseñas, tarjetas de pago, cuentas bancarias, números de identificación oficial, contenido de los pedidos, historial de pagos ni preferencias alimentarias. La presencia de una dirección física indica que el usuario podría ser blanco de ataques relacionados con su ubicación y las entregas; sin embargo, esto no significa que la información de pago se haya visto comprometida. La explicación debe dejar patente el riesgo real relacionado con las comunicaciones y la dirección, sin alarmar innecesariamente al usuario.

Los usuarios que corren mayor riesgo son quienes han compartido su dirección de entrega y su número de teléfono a través de Chowbus. Estas personas pueden recibir mensajes falsos sobre el estado de una entrega, la verificación de su dirección, comunicaciones de un repartidor, cupones de restaurantes o avisos de devolución. Cuando una dirección de correo electrónico y un número de teléfono figuran en el mismo registro, un atacante puede comunicarse por varios canales. Enviar primero un correo electrónico y después un mensaje de texto o realizar una llamada de seguimiento puede hacer que el mensaje fraudulento parezca más auténtico.

Los usuarios que recurren con frecuencia a los servicios de restaurantes locales también pueden ser más receptivos a campañas dirigidas a su zona y a mensajes relacionados con pedidos. La divulgación de una dirección física supone un riesgo para la privacidad, especialmente para quienes utilizan la dirección de su domicilio. En el ámbito empresarial, el uso de plataformas de entrega de comida por parte de empleados que facilitan su teléfono y correo electrónico personales puede dar lugar a que reciban mensajes de ingeniería social durante el horario laboral o en dispositivos de trabajo. Por tanto, una filtración que parece afectar a una cuenta individual también debe considerarse desde la perspectiva de la seguridad de la organización.

Los usuarios no deben hacer clic directamente en enlaces de correos electrónicos y mensajes de texto relacionados con Chowbus o con la entrega de comida. Aunque un aviso sobre el estado de una entrega, un reembolso, la verificación de una dirección o un cupón parezca auténtico, la operación debe comprobarse a través de la aplicación oficial o de un dominio conocido. Aunque quien llame afirme ser un repartidor, un restaurante o el servicio de atención al cliente, no se deben compartir códigos de un solo uso, contraseñas, información de pago ni datos personales adicionales. Que esa persona diga correctamente el nombre y la dirección no demuestra que la llamada sea fiable.

Si la contraseña de la cuenta de Chowbus también se utiliza en otros servicios, debe cambiarse; en este caso, aunque la contraseña no figure entre los tipos de datos verificados, su reutilización siempre constituye un riesgo independiente. Las alertas de seguridad de la cuenta de correo electrónico deben mantenerse activadas y se debe prestar atención a los inicios de sesión inesperados. Para las cuentas asociadas a un número de teléfono, conviene dar preferencia a una aplicación de autenticación en lugar de depender únicamente de la verificación por SMS. El usuario también debe extremar la precaución ante mensajes sobre envíos, entregas y pagos que incluyan datos de su dirección.

Las plataformas de entrega de comida y de servicios locales se utilizan con frecuencia en la vida cotidiana, pero almacenan una gran cantidad de información de contacto y direcciones. A largo plazo, los usuarios deberían eliminar las direcciones antiguas que ya no necesitan, cerrar las cuentas que no utilizan en estas plataformas y evitar dejar demasiada información personal en las notas de entrega siempre que sea posible. Utilizar una dirección de correo electrónico independiente para los avisos de campañas y pedidos puede proteger mejor la cuenta de correo principal. Si no se puede evitar compartir un número de teléfono, conviene extremar la precaución ante llamadas y mensajes de desconocidos.

Desde la perspectiva de los proveedores de plataformas, el incidente muestra lo rápido que puede perderse la confianza de los usuarios cuando los datos de clientes se exportan en archivos masivos. Los permisos de acceso, el intercambio de archivos, la exportación de datos de clientes y los procesos de notificación posteriores a un incidente deben controlarse estrictamente. Las organizaciones también deberían informar a sus empleados de que los mensajes falsos sobre entregas, repartidores, vales de comida y verificación de direcciones pueden utilizarse para ataques de phishing. La formación debería incluir mensajes relacionados con la vida cotidiana, ya que pueden parecer menos sospechosos que las alertas bancarias o de correo electrónico tradicionales.

Una coincidencia en este registro indica que la dirección de correo electrónico asociada aparece en una lista de correos electrónicos únicos vinculada a la filtración de datos de Chowbus. Una coincidencia no significa que los campos de contraseña o tarjeta de pago estén incluidos en el alcance verificado de este registro. El riesgo verificado se limita a los campos de nombre, correo electrónico, teléfono y dirección física. Los usuarios deben actuar teniendo en cuenta que estos datos pueden utilizarse en engaños relacionados con entregas y atención al cliente.

El primer paso práctico es revisar la información de contacto y las direcciones de la cuenta de Chowbus, eliminar las direcciones antiguas innecesarias y asignar una contraseña única a la cuenta. Después, los mensajes sobre entregas recibidos por correo electrónico y teléfono deben verificarse a través del canal oficial. En situaciones en las que las direcciones personales puedan haber quedado expuestas, el usuario debe tener precaución ante solicitudes inesperadas relacionadas con pagos contra reembolso, devoluciones o servicios de mensajería. Aunque el riesgo no implique una filtración directa de tarjetas de pago, deben considerarse realistas los posibles fraudes basados en la dirección y los ataques de ingeniería social.