Filtración de datos de Data & Leads

Los tipos de datos verificados en el registro de Data & Leads son direcciones de correo electrónico, empleadores, direcciones IP, cargos, nombres, números de teléfono y direcciones físicas. Esta combinación revela no solo la dirección de contacto de una persona, sino también su contexto laboral y las vías para contactarla. Un atacante o una red de marketing maliciosa puede combinar el nombre, la empresa, el cargo y la dirección de correo electrónico para elaborar mensajes que parezcan personalizados. Los datos de teléfono y dirección física también pueden hacer que los intentos de fraude resulten más convincentes. Por su parte, las direcciones IP pueden aportar pistas adicionales sobre el contexto de conexiones anteriores, la región o el proveedor de red.

La filtración de Data & Leads no contiene ningún campo de contraseña. Esta distinción es importante porque no se debe comunicar al usuario, sin más, que la contraseña de su cuenta ha sido comprometida. No obstante, campos como el correo electrónico laboral, el número de teléfono y el cargo facilitan que un atacante contacte con la persona. Quienes desempeñan funciones de dirección, ventas, finanzas, recursos humanos, compras o toma de decisiones técnicas pueden ser más susceptibles a ataques mediante ofertas falsas, desvío de pagos, modificaciones de facturas, invitaciones a reuniones o suplantación de socios comerciales. Por ello, la evaluación del riesgo debe centrarse más en la seguridad de las comunicaciones y la concienciación sobre ingeniería social que en los cambios de contraseña.

La filtración de Data & Leads se basa en 44 320 330 direcciones de correo electrónico únicas. Las noticias sobre el incidente pueden mencionar cifras brutas de registros más elevadas; sin embargo, el número bruto de filas no equivale al número de personas o direcciones de correo electrónico únicas. Una misma persona puede aparecer en varias filas de datos, algunos registros pueden estar incompletos y parte de la información profesional puede estar desactualizada. Por ello, la cifra que se muestra al usuario representa el alcance verificado de direcciones de correo electrónico únicas. El hecho de que el conjunto de datos esté relacionado con el marketing y la captación de clientes potenciales también indica que la información que contiene puede haberse recopilado de distintas fuentes.

También debe quedar claro qué campos de datos se han verificado. En el registro de Data & Leads, las contraseñas y la información financiera o médica altamente sensible no figuran entre los campos verificados. La presencia del cargo de una persona o de información sobre su empleador no significa que los sistemas de la empresa hayan sido comprometidos. Del mismo modo, el campo de dirección física no tiene por qué corresponder al domicilio particular de todas las personas; podría ser una dirección comercial, de oficina o de otro tipo incluida en una lista de marketing. Por ello, al enumerar de forma explícita los campos verificados, el texto no debe afirmar que estén igual de completos y actualizados para todas las personas.

El grupo de mayor riesgo está formado por profesionales cuyo correo electrónico laboral y datos de contacto directo figuran en este conjunto de datos. Los equipos de ventas, directivos, propietarios de empresas, consultores, equipos de selección de personal, empleados de finanzas y responsables de decisiones técnicas pueden ser objetivos especialmente atractivos. Cuando el atacante conoce la empresa y el cargo de la persona, puede crear un escenario más convincente. Por ejemplo, puede elaborar mensajes que parezcan una solicitud de un nuevo cliente, una propuesta de colaboración empresarial, una corrección de factura, un enlace a una reunión, un archivo con una propuesta o una comunicación de recursos humanos. Estos ataques pueden dirigir al usuario a un enlace malicioso o inducirlo a proporcionar más información, independientemente de las contraseñas.

Las pequeñas empresas y los profesionales independientes también deben actuar con cautela. Si un número de teléfono o una dirección personal se mezcla con las comunicaciones profesionales, aumenta la superficie de ataque. Como estas personas suelen gestionar sus cuentas profesionales y personales con el mismo correo electrónico o teléfono, una filtración procedente de una lista de marketing puede dar lugar a una elaboración más amplia de perfiles de identidad. El riesgo para las direcciones de correo electrónico asociadas con dominios corporativos no es solo individual: los atacantes pueden relacionar a varias personas de una misma empresa para reconstruir su organigrama y preparar campañas de mensajes más dirigidas.

Los usuarios cuyos datos coincidan con el registro de Data & Leads deben, ante todo, examinar con más cuidado las ofertas de empleo, las invitaciones para compartir archivos, las notificaciones de facturas, los enlaces a reuniones y los mensajes de actualización de cuentas que reciban. No deben abrir directamente los enlaces de los mensajes, y deben verificar por un canal distinto las páginas que soliciten descargar archivos o iniciar sesión. En el caso de solicitudes recibidas por teléfono, la identidad de quien llama debe confirmarse mediante un número conocido de la organización o un canal de comunicación verificado previamente. Los mensajes elaborados a partir de información sobre el empleador o el cargo pueden parecer auténticos; por ello, el mero hecho de que incluyan datos personales correctos no los hace fiables.

Los usuarios también deben revisar la seguridad de su correo electrónico profesional. Aunque la contraseña no forma parte de la filtración de Data & Leads, el riesgo puede aumentar si ese correo se ha utilizado en otras filtraciones. Por ello, se deben usar contraseñas únicas y autenticación multifactor en las cuentas críticas. También deben revisarse las reglas de reenvío, las sesiones desconocidas y las opciones de recuperación de la cuenta de correo electrónico. En el ámbito organizativo, se debe informar a los equipos de ventas, finanzas y dirección de que podrían recibir mensajes dirigidos relacionados con Data & Leads. Debe implantarse un segundo proceso de aprobación, especialmente para solicitudes como el desvío de pagos y los cambios en la información de proveedores.

El incidente de Data & Leads demuestra que no se debe subestimar la importancia de los conjuntos de datos de marketing y clientes potenciales para la seguridad personal. Los profesionales deben revisar periódicamente dónde comparten sus datos de contacto laboral, darse de baja de boletines innecesarios y solicitar que se retiren sus datos de los registros de proveedores de datos que no necesiten, además de actuar con cautela al incluir su teléfono y dirección personales en formularios relacionados con el trabajo. Las empresas también deben evitar difundir en exceso las direcciones de correo electrónico y los números de teléfono directos de sus empleados en fuentes de acceso público. Cuando sea inevitable que los datos de contacto sean visibles, deben reforzarse los procedimientos de verificación para prevenir el fraude.

La lección para las empresas que tratan datos es que las listas de marketing también contienen datos personales que deben protegerse. El hecho de que una lista no incluya contraseñas ni información de pago no significa que entrañe poco riesgo. La combinación de correo electrónico, teléfono, empleador, cargo y dirección tiene un gran valor para la ingeniería social dirigida. Por ello, las bases de datos deben protegerse mediante controles de acceso, autenticación, restricciones de red, registro de actividad y el principio de no almacenar datos innecesarios. Las organizaciones que trabajan con proveedores externos de datos deben auditar periódicamente qué datos se almacenan, dónde y durante cuánto tiempo.

Si el resultado de la comprobación en esta página coincide con el registro de Data & Leads, es posible que la dirección de correo electrónico del usuario haya sido incluida en datos de contacto profesional o de marketing. El primer paso es aplicar una verificación más estricta a los mensajes relacionados con el trabajo que se envíen a esa dirección. Aunque una persona reciba un mensaje que incluya correctamente su empleador, cargo o número de teléfono, debe confirmar la autenticidad de la solicitud por un canal distinto antes de hacer clic en un enlace o abrir un archivo. Como los datos de teléfono y dirección también podrían formar parte de la filtración, se deben evaluar con cuidado las llamadas inesperadas y las notificaciones recibidas por correo postal.

Dado que esta filtración no contenía contraseñas, cambiar la contraseña no es una medida suficiente por sí sola. El objetivo principal es reducir el riesgo de elaboración de perfiles de identidad y de fraude a través de las comunicaciones. El usuario debe reforzar la seguridad de su correo electrónico laboral, utilizar verificaciones adicionales en las cuentas importantes, compartir los mensajes sospechosos con el equipo de seguridad de su organización y adquirir el hábito de comprobar por una segunda vía las solicitudes de pagos o documentos. Por su parte, las organizaciones deben supervisar los dominios afectados y proporcionar a sus empleados advertencias breves y claras sobre posibles escenarios de ataques dirigidos.