Filtración de datos de digiDirect

Cuando el nombre, el número de teléfono, la dirección física y la fecha de nacimiento aparecen junto con la dirección de correo electrónico, el perfil del cliente resulta muy convincente. Como los productos electrónicos suelen tener un valor elevado, los mensajes sobre garantías, servicio técnico, devoluciones o entregas pueden llevar al usuario a actuar con rapidez.

Cuando se combinan campos como el nombre, el correo electrónico, el teléfono, la dirección, el nombre de usuario o la ubicación, los atacantes pueden preparar mensajes que simulan una relación real de prestación de servicios con el usuario. Esta información por sí sola no implica necesariamente que alguien haya tomado el control de la cuenta; sin embargo, puede utilizarse para phishing, solicitudes falsas de asistencia, notificaciones de entrega, verificaciones de cuenta y esquemas de fraude dirigido. El registro no enumera campos de contraseñas ni de tarjetas de pago. Aun así, la fecha de nacimiento y la dirección pueden utilizarse para generar confianza en conversaciones falsas de atención al cliente. El hecho de que algunas direcciones de correo electrónico procedan de dominios de plataformas externas de compraventa indica que los pedidos podrían estar vinculados a distintos canales de venta.

La fecha del incidente es el 29 de septiembre de 2024 y el número de direcciones de correo electrónico afectadas figura como 304 337. Los registros de seguridad muestran que el conjunto de datos contiene más de 300 mil filas e incluye campos de correo electrónico, dirección física, nombre, teléfono y fecha de nacimiento. Las categorías de datos existentes son compatibles con este alcance.

Al explicar el alcance, no debe afirmarse que se filtraron todos los detalles de los pedidos ni la información de las tarjetas de pago. El riesgo práctico del incidente es el fraude dirigido basado en los datos de contacto y entrega de los clientes. No cabe esperar que todos los campos estén completos en cada registro.

Los usuarios en riesgo son los clientes que compran en la tienda digiDirect o en los canales de venta en línea relacionados. Quienes compran cámaras, computadoras, dispositivos móviles o accesorios pueden ser objeto de mensajes falsos sobre garantías, servicio técnico y entregas.

Los usuarios cuyos datos de teléfono y dirección están actualizados también pueden ser objeto de ataques mediante SMS y llamadas. Un atacante que conozca la fecha de nacimiento puede fingir que está realizando una verificación de atención al cliente. Por ello, es importante que los usuarios adquieran el hábito de verificar la información a través de canales oficiales.

Los usuarios cuyos datos coincidan con este registro deben asegurarse de utilizar una contraseña única para digiDirect y para cada cuenta de compras que use el mismo correo electrónico. Los mensajes sobre envíos, garantías, devoluciones y servicio técnico deben verificarse a través de la cuenta oficial o de una dirección web conocida.

En lugar de abrir directamente los enlaces recibidos, inicie sesión desde la dirección web conocida o la aplicación oficial del servicio correspondiente. Que una persona que le llama conozca su nombre, correo electrónico, dirección, pedido o información de perfil no demuestra que sea de confianza. No comparta códigos de verificación de un solo uso, información de tarjetas de pago ni contraseñas de cuentas en ninguna conversación de asistencia.

A largo plazo, el uso habitual de un gestor de contraseñas, contraseñas únicas y autenticación de dos factores, junto con la eliminación de información personal innecesaria de las cuentas, reduce el riesgo. Utilizar la misma dirección de correo electrónico en distintas plataformas facilita la combinación de datos procedentes de diferentes filtraciones; por ello, puede considerar el uso de direcciones de correo electrónico independientes o alias para las cuentas críticas.

En las cuentas de tiendas de productos electrónicos, conviene eliminar las direcciones de entrega antiguas, los números de teléfono que ya no se utilizan y los datos guardados que no sean necesarios. Para los pedidos de productos de alto valor, las comunicaciones sobre envíos y garantías deben seguirse únicamente a través de canales oficiales.

La comprobación de LeakData indica si la dirección de correo electrónico consultada aparece en este registro. Un resultado positivo no significa necesariamente que todos los campos de datos pertenezcan con certeza a ese usuario; sin embargo, constituye una advertencia suficiente para tomar medidas de precaución. Un resultado negativo solo indica que no hay coincidencias en este conjunto de datos y no descarta la posibilidad de que la dirección aparezca en otras filtraciones.

Un resultado positivo aumenta el riesgo de fraude relacionado con compras y envíos. Un resultado negativo significa que no hay coincidencias en este registro; también debe comprobarse el mismo correo electrónico en otras plataformas de compras.