Filtración de datos de Condo.com

Los tipos de datos verificados son direcciones de correo electrónico, nombres, números de teléfono y direcciones físicas. Una dirección de correo electrónico puede utilizarse para vincular al usuario con otras cuentas que tenga en línea. Los nombres y los números de teléfono resultan útiles para llamadas de falsos servicios de atención al cliente, mensajes de verificación de anuncios, personas que se hacen pasar por agentes inmobiliarios o intentos de desviar pagos. En los registros que incluyen una dirección física, se puede obtener información más directa sobre el lugar donde vive el usuario o por el que tiene interés.

En este registro, las contraseñas no figuran entre las categorías de datos verificadas; por tanto, el riesgo se centra en el phishing, las estafas telefónicas y la ingeniería social de temática inmobiliaria, más que en las contraseñas de las cuentas. La combinación de nombre, correo electrónico y teléfono proporciona suficientes vías para contactar con una persona. Si un atacante supone que el usuario está buscando una vivienda, quiere alquilar o comprar, o tiene interés en un apartamento, puede adaptar sus mensajes a ese contexto. Esta personalización puede resultar más persuasiva que la publicidad genérica o los mensajes masivos de phishing.

Este registro abarca 1 481 555 cuentas afectadas y la fecha del incidente consta como el 1 de junio de 2019. Según la información disponible, los datos volvieron a circular posteriormente como parte de una recopilación más amplia de filtraciones. Esto significa que, aunque el incidente sea antiguo, los datos de correo electrónico y teléfono podrían reutilizarse en listas actuales destinadas al fraude. El alcance del registro debe evaluarse según el número de cuentas únicas; no debe suponerse que cada fila representa un perfil de usuario actual, activo o completo.

Los campos verificados son la dirección de correo electrónico, el nombre, el número de teléfono y un pequeño número de direcciones físicas. En este registro no se han verificado contraseñas, tarjetas de pago, cuentas bancarias, números de seguridad social, fechas de nacimiento, documentos de identidad ni documentos de transacciones inmobiliarias como tipos de datos presentes. Además, el campo de dirección física no aparece en todos los registros, sino en una pequeña parte de ellos. Esta distinción es importante: al explicar el riesgo real al usuario, no se debe subestimar el valor de los datos de contacto ni presentar tipos de datos no verificados como si estuvieran presentes.

Las personas que corren mayor riesgo son aquellas que utilizaron su nombre real, su dirección de correo electrónico principal y un número de teléfono activo en Condo.com. Quienes buscan inmuebles suelen estar tomando decisiones de gran valor económico, como mudarse, invertir, alquilar o comprar. Por ello, los atacantes pueden dirigirse a estos usuarios con pretextos como asesoramiento falso, anuncios fraudulentos, desvío de depósitos, preaprobaciones de crédito, gastos de tasación, avisos de cuotas de mantenimiento o servicios de mudanzas.

Para los usuarios cuya dirección física también figure en los datos, el riesgo es más personalizado. Si la dirección es correcta, el atacante puede intentar generar confianza en el mensaje mediante referencias al barrio, el edificio, las entregas, el mantenimiento, las suscripciones o los avisos de administración. Los usuarios con un número de teléfono pueden recibir ataques directos mediante mensajes de texto y llamadas. Quienes se hayan registrado con un correo electrónico de trabajo también se exponen al phishing corporativo, ya que los mensajes sobre inmuebles y gestión de instalaciones pueden parecer razonables en un entorno laboral.

Si encuentra una coincidencia en este registro, debe prestar especial atención a los mensajes de temática inmobiliaria que reciba por correo electrónico o teléfono. No debe dar por fiables las ofertas inmobiliarias inesperadas, las solicitudes de depósitos, las instrucciones de pago rápido, los enlaces para solicitar préstamos, los archivos de contratos de alquiler ni los mensajes de verificación de cuentas. Antes de realizar una transacción inmobiliaria, debe verificar de forma independiente la identidad de la otra parte, el origen del anuncio, los datos de pago y el canal de comunicación.

Debe activar la autenticación multifactor en su cuenta de correo electrónico y revisar si hay sesiones sospechosas. Aunque las contraseñas no figuren entre los campos verificados de este registro, la cuenta de correo electrónico puede ser un objetivo central de los mensajes fraudulentos. No se deben compartir los códigos de un solo uso enviados al número de teléfono, las solicitudes de documentos de identidad, las instrucciones de pago de depósitos ni las solicitudes de acceso remoto. Si su dirección física pudo haberse filtrado, también debe considerar sospechosos los mensajes que lleguen con el pretexto de verificar la dirección o realizar una entrega.

El incidente de Condo.com demuestra que los datos de contacto pueden tener consecuencias graves para la seguridad y la privacidad, incluso cuando no incluyen una contraseña. Siempre que sea posible, utilice direcciones de correo electrónico separadas o soluciones de enmascaramiento para servicios inmobiliarios, de anuncios, de suscripciones y de compras. No comparta su número de teléfono salvo que sea obligatorio; si lo es, tenga en cuenta que podría recibir mensajes publicitarios, estafas e intentos de phishing en el futuro. Comparta su dirección física únicamente en las transacciones en las que sea realmente necesaria.

A largo plazo, conviene revisar las cuentas antiguas de servicios inmobiliarios y los perfiles de anuncios. Cierre las cuentas que ya no utilice, reduzca la información pública de sus perfiles y lleve un control de los servicios en los que se haya registrado con los mismos datos de contacto. Dado el elevado valor económico de las transacciones inmobiliarias, nunca realice pagos basándose únicamente en instrucciones recibidas por correo electrónico o mensaje de texto. Verifique por canales separados la licencia de la otra parte, la titularidad del inmueble anunciado, los datos bancarios y los detalles del contrato.

Una coincidencia en este registro indica que la dirección de correo electrónico correspondiente se encuentra entre los registros asociados a la filtración de Condo.com. La coincidencia muestra que el alcance verificado se limita a los datos de contacto e identidad; las contraseñas y la información de pago no figuran entre las categorías de datos verificadas de este registro. Sin embargo, la combinación de correo electrónico, nombre y número de teléfono puede proporcionar datos suficientes para generar mensajes que parezcan personalizados para el usuario. Por ello, es necesario actuar con cautela aunque el registro sea antiguo.

En primer lugar, proteja su cuenta de correo electrónico, verifique por un canal separado los mensajes inesperados relacionados con inmuebles y mudanzas, y rechace las solicitudes de pago o de información de identidad recibidas por teléfono. Si cree que su dirección física puede ser conocida, examine con atención los mensajes relacionados con entregas, mantenimiento, administración del edificio o suscripciones. En las transacciones inmobiliarias, verifique los anuncios, las personas, las empresas y los datos de las cuentas mediante fuentes independientes antes de transferir dinero.