Filtración de datos de DemandScience by Pure Incubation

Las categorías de datos recogidas en el registro de DemandScience by Pure Incubation son direcciones de correo electrónico, información sobre empleadores, cargos, nombres y apellidos, números de teléfono, direcciones físicas y enlaces a perfiles en redes sociales. Las direcciones de correo electrónico pueden utilizarse para el phishing dirigido, engaños relacionados con el restablecimiento de contraseñas y la vinculación de cuentas en distintos servicios. La información sobre empleadores puede utilizarse para el phishing corporativo, mensajes de falsos proveedores y presión comercial dirigida. Los cargos pueden ayudar a identificar el nivel de autoridad, el departamento y las funciones en la toma de decisiones. Los nombres y apellidos hacen más convincentes los mensajes falsos de soporte, entrega, facturación y atención al cliente. Los números de teléfono permiten crear situaciones de fraude personalizadas mediante SMS, llamadas y aplicaciones de mensajería. Las direcciones físicas pueden utilizarse en mensajes de ingeniería social relacionados con entregas, facturación, suscripciones y servicios locales. Los enlaces a perfiles en redes sociales pueden conectar la identidad real de una persona con su trabajo y sus cuentas en línea.

Cuando se combinan el empleador, el cargo, el teléfono, la dirección y el enlace al perfil en redes sociales, resultan más realistas los mensajes falsos relacionados con proveedores, ventas, selección de personal, conferencias o facturas, así como los que suplantan a directivos. Una dirección de correo electrónico corporativa puede trasladar la superficie de ataque de una cuenta personal a la empresa.

El registro de DemandScience está vinculado al dominio demandscience.com, a la trayectoria de Pure Incubation y al conjunto de datos B2B que apareció a principios de 2024. Su alcance se limita al correo electrónico corporativo, el empleador, el cargo, el nombre completo, el teléfono, la dirección física y los enlaces a perfiles en redes sociales. Debe partirse de la premisa de que no contiene contraseñas, datos bancarios ni contenido de cuentas privadas.

Los campos que no están presentes en el registro de DemandScience no deben describirse como si se hubieran filtrado. Categorías como los datos completos de tarjetas de pago, documentos oficiales de identidad, mensajes privados, datos de salud, información bancaria o contenido de dispositivos solo deben incluirse en la evaluación del riesgo si están presentes de forma explícita en el registro. El texto se basa en categorías de datos verificables y en los límites conocidos del incidente.

Corren un mayor riesgo los empleados cuyas direcciones de correo electrónico corporativas figuran en el registro; las personas que desempeñan funciones de ventas, marketing, finanzas, dirección, recursos humanos y compras; los usuarios cuyos perfiles de LinkedIn coinciden con su correo electrónico laboral; y los equipos que reciben mensajes con propuestas externas.

También corren un mayor riesgo los usuarios que utilizan la misma dirección de correo electrónico en distintos servicios, reutilizan contraseñas antiguas, no separan las cuentas laborales de las personales o comparten su teléfono y dirección en varias plataformas. En los registros de recopilación de datos o perfiles B2B, el riesgo también debe evaluarse en función del perfil que puede construirse al combinar distintas fuentes, y no solo de una cuenta.

Los usuarios que obtengan una coincidencia positiva deben verificar, mediante procesos internos de validación, los mensajes inesperados sobre ofertas de empleo, ventas, facturas, reuniones, cambios de proveedor y aprobación de pagos. Dado que el registro de DemandScience no contiene contraseñas, la prioridad es la concienciación sobre la ingeniería social y el phishing corporativo.

Los usuarios que obtengan una coincidencia positiva deben actualizar las contraseñas de las cuentas en las que utilicen contraseñas iguales o similares, activar la autenticación de dos factores cuando sea posible y revisar sus sesiones recientes. Cuando los registros no contienen contraseñas, pero sí datos de contacto o de perfil, deben extremarse las precauciones ante llamadas, ofertas, devoluciones, propuestas de colaboración y mensajes de verificación inesperados.

A largo plazo, adoptar el hábito de utilizar un gestor de contraseñas, contraseñas únicas y autenticación de dos factores, así como eliminar de las cuentas la información personal innecesaria, reduce el riesgo. Reutilizar la misma dirección de correo electrónico en distintas plataformas facilita la combinación de datos procedentes de diferentes filtraciones; puede considerarse el uso de una dirección de correo electrónico o un alias independiente para las cuentas críticas.

Las empresas deben reducir la visibilidad pública de los datos de contacto de sus empleados, utilizar un segundo mecanismo de aprobación en las operaciones financieras y de compras, y formar a sus empleados frente a intentos de phishing dirigidos según su cargo. Los usuarios particulares deben mantener separadas las cuentas laborales y las personales.

La comprobación de LeakData muestra si la dirección de correo electrónico consultada aparece en el registro de DemandScience. Un resultado positivo no significa necesariamente que todos los campos de datos pertenezcan con certeza a ese usuario; sin embargo, constituye una advertencia suficiente para adoptar medidas de protección. Un resultado negativo solo indica que no hay coincidencias en este conjunto de datos y no descarta la posibilidad de aparecer en otras filtraciones.

Un resultado positivo indica que la dirección de correo electrónico está presente en el conjunto de datos B2B vinculado a DemandScience/Pure Incubation. Este resultado no significa que la contraseña se haya filtrado; sin embargo, debe tenerse en cuenta por el riesgo de ataques dirigidos a empresas y de ingeniería social.