Filtración de datos de Deezer

Las categorías de datos verificadas incluyen fechas de nacimiento, direcciones de correo electrónico, información de género, ubicaciones geográficas, direcciones IP, nombres, idiomas hablados y nombres de usuario. Aunque estos campos no contienen contraseñas, permiten elaborar perfiles detallados de los usuarios. Las direcciones de correo electrónico y los nombres de usuario pueden utilizarse para vincular cuentas de distintas plataformas. Los nombres, las fechas de nacimiento y la información de ubicación aportan contexto adicional sobre la identidad real del usuario. Una dirección IP puede ofrecer indicios sobre la región desde la que se conecta, su proveedor de servicios de internet o sus hábitos generales de acceso. La combinación del idioma preferido y la ubicación puede hacer que los mensajes falsos resulten más convincentes.

El principal riesgo de este conjunto de datos es el phishing personalizado y la ingeniería social. Un atacante que conozca la cuenta del servicio de música, la dirección de correo electrónico y los detalles del perfil del usuario puede crear mensajes falsos sobre suscripciones, seguridad de la cuenta, renovación de pagos o campañas. Los mensajes que parecen notificaciones oficiales del servicio pueden dirigir al usuario a una página de inicio de sesión falsa o atraerlo a formularios que solicitan información de pago. Incluso si la contraseña no se ha filtrado, el riesgo aumenta al combinar la dirección de correo electrónico y la información del perfil con otros conjuntos de datos. Por ello, la filtración de Deezer debe considerarse un registro que no contiene contraseñas, pero que ofrece amplias posibilidades para el seguimiento de usuarios y el fraude dirigido.

El alcance verificado corresponde a 229 037 936 cuentas. Los datos están fechados el 22 de abril de 2019, la fecha de incorporación es el 2 de enero de 2023 y la fecha de actualización es el 9 de diciembre de 2025. Los campos divulgados se centran en la información del perfil de la cuenta y los identificadores de contacto. La información verificada no incluye contraseñas, tarjetas de pago, datos bancarios ni detalles de pago de suscripciones activas. Deezer declaró que se había visto afectada por el uso indebido de una copia de datos perteneciente a un antiguo proveedor de servicios y que sus sistemas principales no se habían visto afectados. Esta distinción es importante para priorizar correctamente las medidas de seguridad de la cuenta.

Definir claramente estos límites evita que el usuario reciba información errónea sobre el riesgo. En este incidente, el restablecimiento de la contraseña no debe presentarse como una medida obligatoria derivada de la filtración, ya que las contraseñas no figuran entre las categorías de datos verificadas. No obstante, se recomienda tener precaución con los mensajes falsos procedentes de la misma dirección de correo electrónico. Datos como la fecha de nacimiento, el nombre, la ubicación y el nombre de usuario pueden utilizarse indebidamente en preguntas de verificación de identidad, interacciones con el soporte o procesos de recuperación de cuentas. Por tanto, el riesgo se concentra más en el phishing, los mensajes de soporte falsos, el fraude relacionado con suscripciones y la vinculación de perfiles personales que en el compromiso directo de las contraseñas.

El grupo de mayor riesgo está formado por las personas que utilizan su nombre real, su dirección de correo electrónico principal y su ubicación actual en su cuenta de Deezer. Estos usuarios pueden ser más vulnerables a mensajes falsos enviados en nombre del servicio sobre facturas, renovaciones de suscripciones, planes familiares, pruebas gratuitas o seguridad de la cuenta. El riesgo también aumenta para quienes utilizan la misma dirección de correo electrónico en cuentas de redes sociales, compras, videojuegos o trabajo, porque los atacantes pueden vincular distintas cuentas a través de esa dirección. Los intentos de phishing pueden resultar más eficaces, ya que los mensajes sobre campañas, promociones y pagos relacionados con servicios de música pueden llevar a los usuarios a responder rápidamente.

El segundo grupo de riesgo está formado por las personas que ya no utilizan su antigua cuenta de Deezer, pero mantienen activa la misma dirección de correo electrónico. Las cuentas que no se usan suelen olvidarse, pero los datos de correo electrónico y de perfil incluidos en la filtración siguen siendo valiosos para los atacantes. Quienes utilizan un plan familiar pueden convertirse en objetivos adicionales a través de las direcciones de correo electrónico vinculadas a las cuentas de sus hijos o de otros familiares. En el caso de los usuarios que abren una cuenta en un servicio de música con una dirección de correo electrónico corporativa, una filtración de datos personales puede dar lugar a mensajes falsos dirigidos a su identidad laboral. Por ello, la evaluación del riesgo no debe limitarse a la cuenta de Deezer: también debe tener en cuenta otras cuentas asociadas a la misma dirección de correo electrónico.

Los usuarios deben acceder primero a su cuenta de Deezer escribiendo directamente el nombre de dominio en el navegador o mediante una aplicación móvil de confianza. No deben acceder a las opciones de seguridad de la cuenta, renovación de pagos o configuración de la suscripción a través de enlaces incluidos en correos electrónicos. En los mensajes recibidos, conviene revisar detenidamente el dominio del remitente, los errores ortográficos, las expresiones de urgencia y los formularios que solicitan información de pago. Aunque no se haya confirmado que la contraseña se ha filtrado, es razonable cambiarla por una contraseña segura y única si se ha utilizado durante mucho tiempo o se repite en otras cuentas. Debe activarse la autenticación multifactor en los servicios esenciales vinculados a la misma dirección de correo electrónico que la cuenta de Deezer.

Los usuarios que reciban mensajes sospechosos deben comprobar el estado de su suscripción desde la pantalla oficial de inicio de sesión antes de hacer clic en cualquier enlace. También deben revisar los mensajes que soliciten información de pago o utilicen la renovación de la tarjeta como pretexto, ya que, aunque esta filtración no contiene datos de pago, los atacantes pueden crear mensajes de phishing relacionados con pagos. Conviene revisar el historial de inicio de sesión, las opciones de recuperación y los dispositivos conectados de la cuenta de correo electrónico. Si existen cuentas antiguas abiertas con la misma dirección de correo electrónico, deben asignarse contraseñas únicas a cada una y cerrarse las que no sean necesarias. Estas medidas dificultan que los datos de perfil de la filtración se extiendan a otras cuentas.

El incidente de Deezer demuestra que las filtraciones sin contraseñas también plantean riesgos de seguridad a largo plazo. Los usuarios deben revisar periódicamente con qué frecuencia reutilizan la misma dirección de correo electrónico, el mismo nombre de usuario y una cantidad excesiva de información personal de perfil en distintos servicios. Utilizar direcciones de correo electrónico diferentes para las cuentas esenciales reduce el riesgo de que se vinculen distintas filtraciones. La autenticación multifactor, las contraseñas únicas y un gestor de contraseñas fiable deben mantenerse como una capa básica de seguridad. Si no es obligatorio proporcionar la fecha de nacimiento, la ubicación o el nombre real, conviene limitar la información compartida en los campos del perfil.

A largo plazo, la mejor defensa consiste en no considerar fiables los mensajes recibidos únicamente por la información personal que contienen. Un correo electrónico puede indicar correctamente su nombre, fecha de nacimiento o ubicación; eso no significa que el mensaje sea legítimo. Los usuarios deben iniciar siempre las operaciones relacionadas con suscripciones, pagos y seguridad de la cuenta directamente desde la pantalla oficial del servicio. Conviene depurar periódicamente las cuentas antiguas, cerrar las suscripciones que ya no se utilizan y revisar la configuración de uso compartido de datos. Así, las filtraciones antiguas que contienen datos de perfil pierden valor para nuevos intentos de fraude.

La consulta de Deezer en LeakData le ayuda a comprobar si su dirección de correo electrónico está asociada a esta filtración de datos. Si el resultado es positivo, revise primero con atención los mensajes sobre Deezer, suscripciones, pagos y seguridad de la cuenta enviados a su dirección de correo electrónico. Acceda a su cuenta únicamente a través del dominio oficial o de una aplicación de confianza. Active la autenticación multifactor en los demás servicios en los que utilice la misma dirección de correo electrónico y adopte contraseñas únicas si ha reutilizado contraseñas entre cuentas. Tenga especial precaución con los mensajes de soporte falsos que incluyan su fecha de nacimiento, ubicación y nombre.

Aunque su dirección de correo electrónico no aparezca en esta filtración, evitar repetir innecesariamente la información de su perfil en distintas plataformas es un buen hábito de seguridad. Como la filtración de datos de Deezer no contenía contraseñas ni datos de pago, el riesgo directo de que alguien tome el control de la cuenta es más limitado; sin embargo, el riesgo de phishing dirigido y fraude relacionado con suscripciones es alto. Por tanto, las principales medidas para los usuarios son evitar los enlaces sospechosos, utilizar la pantalla oficial de inicio de sesión, reforzar la seguridad del correo electrónico y reducir la repetición de la misma información personal en distintos servicios.