Filtración de datos de Dave

Los tipos de datos enumerados en el registro de Dave conllevan un alto riesgo por el contexto de la aplicación financiera. El nombre, la dirección de correo electrónico, el número de teléfono y la dirección física, en conjunto, permiten identificar al usuario y contactar con él directamente. Algunos servicios pueden utilizar la fecha de nacimiento para recuperar una cuenta o verificar la identidad a través de atención al cliente. El campo del número de la seguridad social se describe como cifrado; esto no significa que se haya filtrado un número legible, pero la mera presencia de este campo en el registro aumenta la sensibilidad del incidente. El campo de contraseña también debe interpretarse como un valor hash de bcrypt, no como texto sin cifrar.

Aunque Bcrypt es un método sólido para almacenar contraseñas, el riesgo asociado a estas no desaparece por completo. Las contraseñas débiles o utilizadas anteriormente pueden ser más vulnerables. Si un usuario ha repetido la misma contraseña en cuentas de correo electrónico, servicios financieros, compras, redes sociales o trabajo, los atacantes pueden intentar utilizar la contraseña descubierta o adivinada en distintas plataformas. La dirección física y el número de teléfono pueden hacer más convincentes los intentos de ingeniería social, como las llamadas falsas de supuestos representantes financieros, los mensajes de verificación de cuentas, las notificaciones sobre anticipos de efectivo, las ofertas de crédito o los pretextos de verificación de identidad.

La cifra de 2 964 182 que aparece en este registro representa el alcance de las direcciones de correo electrónico únicas verificadas. Se informó de que los datos sin procesar asociados al incidente contenían aproximadamente 7,5 millones de filas; sin embargo, estas filas no equivalen al número de usuarios únicos. Esta distinción es importante tanto para evitar una alarma innecesaria entre los usuarios como para reflejar con precisión el alcance real de la filtración. La fecha del incidente figura como junio de 2020, y la aparición posterior de los datos en distintos foros o índices de datos no modifica el período en el que ocurrió la filtración. Este registro corresponde a los datos de usuarios de Dave y no debe confundirse con los de otros clientes del proveedor externo.

También es necesario precisar el alcance de los campos de datos. En este registro se han verificado fechas de nacimiento, direcciones de correo electrónico, nombres, hashes de contraseñas bcrypt, números de teléfono, direcciones físicas y el campo cifrado del número de la seguridad social. Que exista un campo cifrado no significa que el número pueda leerse como texto sin cifrar. Del mismo modo, que el incidente esté relacionado con una aplicación financiera no significa que este registro contenga movimientos de transacciones ni información que permita acceder directamente a las cuentas. El mensaje correcto para el usuario es que los campos de identidad personal y contacto conllevan un alto riesgo, que debe comprobar si ha reutilizado contraseñas y que debe extremar la precaución ante intentos de fraude relacionados con servicios financieros.

El mayor riesgo afecta a las personas que han utilizado la aplicación Dave y han usado el mismo correo electrónico o la misma contraseña en otras cuentas financieras o personales. Los usuarios de aplicaciones financieras pueden ser objeto de engaños relacionados con supuestas verificaciones de cuentas, problemas de pago, actualizaciones sobre anticipos de efectivo, puntuaciones crediticias, comprobaciones de identidad o llamadas de atención al cliente. Si un atacante conoce el nombre, el número de teléfono, la dirección y la fecha de nacimiento de una persona, estos contactos resultan más convincentes. Por ello, los usuarios deben desconfiar no solo de los correos electrónicos que reciben, sino también de las llamadas y los mensajes de texto.

El riesgo puede ser más amplio para quienes hayan abierto una cuenta de Dave con una dirección de correo electrónico corporativa. La exposición de los datos de un empleado en una aplicación de finanzas personales no significa que los sistemas de la organización se hayan visto comprometidos; sin embargo, si se utiliza la misma contraseña en cuentas de trabajo o si un atacante dirige un mensaje a la dirección corporativa, podría existir un riesgo para la organización. En casos como una dirección compartida, un teléfono compartido o una cuenta familiar, el riesgo también puede afectar a otras personas. La información sobre la dirección física también puede utilizarse en intentos de fraude mediante correspondencia falsa, entregas falsas o pretextos de verificación de identidad.

El primer paso para los usuarios cuyos datos coincidan con el registro de Dave es cambiar la contraseña utilizada en la cuenta de Dave y en todas las cuentas que usen la misma contraseña o una similar. Deben revisarse primero las cuentas de correo electrónico, las aplicaciones financieras, los servicios bancarios, las plataformas de pago, los sitios de compras y las cuentas de redes sociales. Las nuevas contraseñas deben ser únicas y seguras, y generarse con un gestor de contraseñas si es posible. Debe activarse la autenticación multifactor en las cuentas importantes, deben cerrarse las sesiones desconocidas y deben actualizarse las opciones de recuperación.

El segundo paso es tomar precauciones ante los intentos de ingeniería social relacionados con servicios financieros. No comparta códigos de verificación, contraseñas, acceso a cuentas ni información personal adicional, aunque quien llame o envíe el mensaje afirme representar a Dave, una entidad financiera, un equipo de soporte o una unidad de autenticación. Si necesita comprobar el estado de una cuenta, utilice una aplicación conocida o un canal oficial de inicio de sesión. En la cuenta de correo electrónico, revise las reglas de reenvío, las direcciones de recuperación y la actividad reciente de inicio de sesión. Si sospecha de una transacción financiera fraudulenta o de un uso indebido de su identidad, contacte directamente con los proveedores de servicios correspondientes.

El incidente de Dave demuestra que la protección de los datos personales almacenados en aplicaciones financieras no se limita a la seguridad de las contraseñas. Los usuarios deben utilizar contraseñas únicas y protección multifactor en todas las cuentas empleadas para servicios financieros, correo electrónico y procesos de autenticación. No debe olvidarse que los números de teléfono y las direcciones físicas pueden utilizarse en fraudes. El hábito de supervisar la actividad crediticia y el uso de la identidad puede ser útil para detectar aperturas inesperadas de cuentas, solicitudes falsas o notificaciones financieras sospechosas. Si ya no se utilizan cuentas antiguas de aplicaciones financieras, deben cerrarse o revisarse sus ajustes de conservación de datos.

La lección para las empresas de tecnología financiera es que el riesgo asociado a los proveedores externos de servicios puede repercutir directamente en la seguridad de los clientes. Debe delimitarse claramente a qué áreas relacionadas con los clientes pueden acceder los proveedores contratados para tareas de análisis, desarrollo o soporte. Las contraseñas deben almacenarse mediante métodos sólidos, los campos sensibles de identidad deben mantenerse cifrados, el intercambio innecesario de datos debe reducirse al mínimo y el acceso de terceros debe auditarse periódicamente. Tras una filtración, debe explicarse claramente al usuario qué áreas se vieron afectadas e indicarse expresamente cuáles no se vieron afectadas.

Si el resultado de la verificación en esta página coincide con el registro de Dave, debe tratarlo como información sensible. Primero, deje de reutilizar contraseñas y, después, active la verificación adicional en sus cuentas de correo electrónico y servicios financieros. Desconfíe de los enlaces inesperados, las solicitudes de códigos de verificación, los mensajes sobre bloqueos de cuentas y los formularios de actualización de identidad que lleguen en nombre de Dave o de cualquier otro servicio financiero. Dado que la dirección física y el número de teléfono también se incluyen en el alcance del riesgo, debe prestar atención no solo al correo electrónico, sino también a las llamadas y los mensajes.

Aunque la filtración de Dave ocurrió hace tiempo, los datos de identidad personal y contacto conservan su valor durante mucho tiempo. Los hashes de contraseñas Bcrypt no equivalen directamente a contraseñas legibles; sin embargo, el riesgo persiste si las contraseñas son débiles o se han reutilizado. El campo cifrado del número de la seguridad social tampoco equivale directamente a un número expuesto sin cifrar, pero hace que el registro sea sensible. Debe considerar este registro una advertencia concreta para cambiar sus hábitos de uso de contraseñas, proteger sus cuentas financieras, vigilar posibles señales de uso indebido de su identidad y aplicar verificaciones más estrictas ante contactos inesperados relacionados con servicios financieros.