Exposición de datos de enriquecimiento de un cliente de PDL

Los tipos de datos verificados son direcciones de correo electrónico, información sobre la empresa empleadora, ubicaciones geográficas, cargos, nombres, números de teléfono y perfiles en redes sociales. Las contraseñas, los datos de tarjetas de pago, los números de identificación oficial y el contenido completo de las cuentas no figuran entre los campos verificados de este incidente. Aun así, la combinación de nombre, empresa, cargo, teléfono y perfil social proporciona a los atacantes abundante contexto sobre la función de una persona y su red de contactos.

Estos datos son valiosos para ataques de phishing, mensajes de contratación falsos, fraudes relacionados con proveedores, suplantación de directores ejecutivos, facturas falsas, uso abusivo de publicidad dirigida y estafas telefónicas. En particular, cuando un correo electrónico laboral y un número de teléfono aparecen juntos, el atacante puede contactar con la persona aprovechando su función en la empresa. Los perfiles en redes sociales también pueden hacer más convincentes las solicitudes de contacto falsas o los intercambios de mensajes que aparentan ser fiables.

La fecha del incidente debe registrarse como el 16 de octubre de 2019. El registro se añadió a listas fiables de comprobación de filtraciones el 22 de noviembre de 2019, y su última modificación tiene esa misma marca de tiempo. El número de cuentas afectadas corresponde a 622 161 052 direcciones de correo electrónico únicas. Los recuentos brutos más elevados de perfiles o filas no deben interpretarse directamente como el número de usuarios únicos, debido a los datos repetidos y a la combinación de distintos conjuntos de datos.

Al explicar el alcance, no debe afirmarse con certeza que los sistemas internos de People Data Labs fueron vulnerados. La explicación correcta es que una base de datos de un cliente o de un tercero que quedó expuesta contiene campos de enriquecimiento de datos asociados con People Data Labs. Para el usuario, esto implica que su dirección de correo electrónico aparece en este conjunto de datos de perfiles profesionales y que los campos asociados aumentan el riesgo de ingeniería social.

Los usuarios en riesgo son, en particular, profesionales cuyo correo electrónico laboral, número de teléfono, cargo, empresa y perfil en redes sociales aparecen vinculados entre sí. Pueden resultar objetivos más valiosos para mensajes dirigidos si desempeñan funciones de ventas, finanzas, recursos humanos, dirección, tecnología, relaciones con clientes o suministro. Estas personas pueden ser objeto de intentos de engaño mediante invitaciones a reuniones falsas, archivos de propuestas, solicitudes de pago o supuestos contactos profesionales.

Para los usuarios particulares, el riesgo surge de la combinación del correo electrónico personal y los perfiles sociales con el historial laboral. Los atacantes pueden crear mensajes realistas utilizando la empresa, la ciudad, un cargo anterior o los enlaces a perfiles públicos de la persona. Para las organizaciones, el riesgo no se limita a la privacidad de los empleados: sus perfiles pueden utilizarse para fraudes relacionados con proveedores, instrucciones falsas de superiores y solicitudes de contacto que aparentan ser fiables.

Los usuarios para los que se haya detectado una coincidencia positiva deben comprobar primero la seguridad de su cuenta de correo electrónico, su cuenta de trabajo y sus cuentas en redes sociales. Deben utilizar contraseñas seguras y únicas, activar la autenticación de dos factores y cerrar las sesiones que no reconozcan. Aunque en este caso no se ha verificado la presencia de contraseñas, debe darse prioridad a la protección de la cuenta de correo electrónico, ya que sirve para recuperar otras cuentas.

También deben revisarse por separado las ofertas de empleo, los archivos compartidos, las facturas, las invitaciones a reuniones, las solicitudes de contacto, los mensajes de contratación y las solicitudes de cambios en los pagos que lleguen a la bandeja de entrada. Que quien llama por teléfono conozca el nombre, la empresa, el cargo o información antigua del perfil de la persona no demuestra que sea de confianza. Para las comunicaciones en las que se solicite dirigir pagos a un destino, facilitar códigos de acceso o contraseñas, o entregar documentos confidenciales, debe ser obligatoria la verificación a través de un segundo canal.

A largo plazo, los usuarios deben separar con mayor claridad sus identidades laboral y personal. Utilizar una dirección de correo electrónico o un alias independiente para las cuentas críticas, reducir la publicación innecesaria de números de teléfono y correos personales en los perfiles sociales, limitar la información sobre empleos anteriores y revisar periódicamente las secciones visibles de los perfiles reduce el riesgo. El uso de un gestor de contraseñas y de la autenticación de dos factores debe mantenerse como medida básica de protección.

Las organizaciones deben incorporar este tipo de incidentes de enriquecimiento de datos a sus procesos de concienciación de empleados, seguridad del correo electrónico y verificación de proveedores. La formación de quienes realizan tareas de alto riesgo debe abordar situaciones con facturas falsas, instrucciones falsas de directivos, procesos de contratación falsos y archivos compartidos fraudulentos. Para las solicitudes que requieran transacciones financieras o cambios en los permisos de acceso, debe exigirse una verificación a través de un segundo canal, además de la aprobación por escrito.

Si el resultado de LeakData es positivo, significa que la dirección de correo electrónico consultada se encuentra en el conjunto de datos «Exposición de datos de enriquecimiento de un cliente de PDL». Este resultado no significa que la persona sea cliente de People Data Labs ni que se haya filtrado la contraseña de una cuenta concreta. Lo que indica principalmente es que la dirección puede aparecer junto a campos como el nombre, la empresa, el cargo, el teléfono, la ubicación o el perfil social, lo que aumenta el riesgo de recibir comunicaciones dirigidas.

Si el resultado es negativo, significa que no se encontró ninguna coincidencia en este conjunto de datos; sin embargo, la misma dirección de correo electrónico puede aparecer en otros incidentes de enriquecimiento de datos o en otras filtraciones. El usuario debe seguir realizando comprobaciones periódicas, utilizar contraseñas únicas para las cuentas laborales y personales, mantener activada la autenticación de dos factores y conservar el hábito de verificar por un segundo canal los mensajes laborales inesperados.