Filtración de datos de ClaraHair (2023)

En cuentas de comercio electrónico como las de ClaraHair, el nombre, el número de teléfono, la dirección y el historial de compras proporcionan a los atacantes información directa sobre el cliente. Al contactar con un usuario con el pretexto de tratar un asunto relacionado con un producto concreto, un pedido, una devolución, un cargo de envío, una dirección incompleta o una verificación de pago, el mensaje puede parecer más creíble. Los campos como la fecha de nacimiento y el número de identificación también pueden utilizarse como datos de verificación en interacciones con un supuesto servicio de asistencia. Los textos personales, las notas de pedidos o los campos de texto libre, como las descripciones del perfil, pueden contener detalles adicionales que el usuario haya escrito sobre sí mismo y que podrían quedar expuestos. Los campos de historial de pagos y método de pago no implican la presencia de números completos de tarjetas; sin embargo, pueden aportar información sobre los hábitos de pago del usuario o su canal preferido que podría utilizarse para cometer fraude.

En este registro, las categorías de datos se han ampliado tras comparar las fuentes. Antes solo eran visibles los campos de correo electrónico, nombre, teléfono, dirección, compras, pagos y actividad en el sitio. Tras realizar comprobaciones adicionales, también se han incluido los campos de fecha de nacimiento, números de identificación oficial y textos personales dentro del alcance del riesgo. En cambio, no se han añadido contraseñas, números completos de cuentas bancarias ni números completos de tarjetas de pago cuya presencia no se haya verificado. Así, el registro no se ha limitado innecesariamente ni se ha ampliado con afirmaciones sin fundamento sobre datos financieros. En la pantalla de resultados del usuario se muestra con mayor claridad qué datos podrían utilizarse de forma indebida en situaciones relacionadas con el comercio electrónico, las entregas y la verificación de identidad.

Los usuarios afectados deben revisar con atención los mensajes sobre campañas, cupones, envíos, devoluciones, verificación de pagos y actualización de direcciones que reciban en sus cuentas de ClaraHair o en las cuentas de compras que utilicen con la misma dirección de correo electrónico. Los códigos de un solo uso, las confirmaciones de identidad, los enlaces de pago o las solicitudes de recuperación de cuentas que reciban por teléfono o mediante mensajes deben verificarse directamente a través de canales oficiales conocidos. Dado que los datos permanentes, como la fecha de nacimiento y el número de identificación, no pueden cambiarse, las conversaciones con un falso servicio de asistencia personalizadas con esta información pueden suponer riesgos durante mucho tiempo. Los usuarios deben utilizar una contraseña única para sus cuentas de compras, activar la autenticación multifactor en su cuenta de correo electrónico y evitar abrir enlaces que conduzcan a un proceso de pago fuera del dominio cuyo nombre hayan escrito directamente.

Este registro se ha elevado al nivel crítico en LeakData porque en un mismo incidente confluyen datos de contacto, dirección, fecha de nacimiento, identificación, textos personales, compras y contexto de pago. La descripción se ha redactado para encajar de forma natural con búsquedas como filtración de datos de ClaraHair, filtración de datos de ClaraHair, filtración en el comercio electrónico de productos para el cabello, datos de clientes, riesgo asociado al número de identificación, filtración de fechas de nacimiento, seguridad del historial de pedidos y fraude relacionado con el método de pago. En el resultado de la consulta, los usuarios pueden ver claramente no solo si su cuenta figura en el registro, sino también qué campos de datos suponen un riesgo en el contexto de las compras y la verificación de identidad.

En el registro de ClaraHair, el campo de textos personales se ha mantenido expresamente separado. Estos campos de texto libre pueden incluir información adicional escrita por el propio usuario, como una nota de pedido, una preferencia de entrega, un comentario del cliente o una descripción del perfil. Esta información, por sí sola, no constituye un identificador técnico; sin embargo, al combinarse con el nombre, el número de teléfono, la dirección, la fecha de nacimiento y el historial de compras, puede ayudar a un estafador a personalizar su mensaje. Los detalles que parezcan corresponder a compras anteriores, solicitudes de devolución o preferencias de entrega del usuario pueden utilizarse para generar confianza.

En este registro, los campos de historial de pagos y método de pago también deben interpretarse con cautela. No implican la presencia de un número completo de tarjeta o de cuenta bancaria; sin embargo, aumentan el riesgo de fraude porque indican que podría haberse filtrado información sobre el contexto de pago del usuario. En particular, dado que las compras de productos de belleza y cuidado personal pueden estar relacionadas con preferencias privadas, los usuarios deben extremar la precaución ante mensajes que mencionen nombres de productos, promociones o suscripciones.