Filtración de datos de Disk Union

Entre los tipos de datos verificados figuran las direcciones de correo electrónico, los nombres completos, los datos de ubicación, como direcciones físicas o códigos postales, la información de teléfono y fax, los números de miembro o identificadores de usuario y las contraseñas de acceso. El índice independiente de filtraciones enumera las siguientes categorías de datos: direcciones de correo electrónico, ubicaciones geográficas, nombres, contraseñas, números de teléfono y nombres de usuario. El comunicado de la empresa también mencionó los números de miembro y las direcciones de los usuarios registrados en las tiendas en línea. Por ello, la filtración de datos de Disk Union no se limita a una lista de correos electrónicos: es un incidente de mayor riesgo para las cuentas de clientes, ya que reúne datos de contacto, identidad y acceso.

Las contraseñas en texto plano constituyen la parte más grave de este incidente. La exposición de una contraseña directamente legible, en lugar de su hash, facilita los intentos de usar la misma combinación de correo electrónico y contraseña en otros servicios. Campos como el nombre, la dirección y el número de teléfono también aportan más contexto que los atacantes pueden aprovechar; los mensajes falsos sobre envíos, pedidos, verificación de membresía, reembolsos o atención al cliente pueden resultar más creíbles. Los identificadores, como los números de miembro, no son información financiera por sí solos, pero pueden utilizarse indebidamente para aparentar una vinculación legítima con una cuenta.

El alcance verificado del incidente se limita a las tiendas en línea diskunion.net y audiounion.jp, operadas por Disk Union. En la fase inicial se detectó una posible filtración el 24 de junio de 2022, tras una notificación de un tercero; las tiendas en línea se suspendieron ese mismo día. El incidente se notificó a la autoridad japonesa de protección de datos personales el 27 de junio de 2022 y a las autoridades policiales el 28 de junio de 2022. El incidente, anunciado públicamente el 29 de junio de 2022, se esclareció el 10 de agosto de 2022, cuando se confirmó la filtración tras una investigación externa. Esta cronología indica que la fecha de la filtración registrada como junio de 2022 corresponde al período de detección y respuesta.

Es importante no ampliar el alcance. Los aproximadamente 701 000 registros de clientes representan el límite superior del impacto anunciado por la empresa; las aproximadamente 690 667 direcciones de correo electrónico únicas corresponden al número de direcciones únicas indexadas. Estas dos cifras no miden lo mismo. Los datos de tarjetas de crédito no se incluyeron en este registro porque se informó de que la empresa no los conserva. Tampoco hay información verificada sobre la extracción al exterior del historial de compras o de pagos. La causa del incidente se atribuyó a una vulnerabilidad de seguridad detectada en un servidor vinculado a los sistemas de las tiendas en línea. Se interrumpió el acceso correspondiente y las tiendas permanecieron cerradas hasta que se completaron las medidas de seguridad.

El grupo de mayor riesgo está formado por los clientes que se registraron en las tiendas en línea de Disk Union o Audio Union antes de 2022 o durante el período del incidente. El riesgo aumenta considerablemente para quienes utilizan el mismo correo electrónico y la misma contraseña en distintos sitios de compras, cuentas de correo electrónico, redes sociales o servicios vinculados a pagos. Cuando una contraseña está disponible en texto plano, el atacante no necesita descifrarla; puede bastar con probar los mismos datos en otros formularios de inicio de sesión. Por lo tanto, se deben revisar no solo la cuenta de Disk Union, sino también todas las cuentas en las que se utilice la misma contraseña.

También están en riesgo los coleccionistas que hacen pedidos desde fuera de Japón, los clientes de discos y archivos musicales, quienes llevan mucho tiempo utilizando la misma membresía y los clientes que mantienen direcciones de correo electrónico antiguas en sus cuentas. Dado que se han filtrado direcciones, números de teléfono e identificadores de miembro, los mensajes dirigidos a estas personas pueden ir más allá del phishing genérico: pueden presentarse como comunicaciones sobre el estado de un pedido, avisos de disponibilidad de productos, actualizaciones de membresía o recuperación de cuentas. Estos mensajes pueden parecer basados en una relación real y previa con la marca, en la existencia de una membresía y en los datos de contacto de la persona.

Cambie de inmediato la contraseña que utilizaba en la tienda en línea de Disk Union o Audio Union. Si usaba la misma contraseña en otras cuentas, asígneles también contraseñas diferentes y seguras. Un gestor de contraseñas facilita la creación de contraseñas únicas para cada servicio y ayuda a evitar la reutilización de contraseñas antiguas. Revise con prioridad las cuentas de correo electrónico, los sitios de compras y los servicios vinculados a pagos, porque la combinación de correo electrónico y contraseña es lo primero que los atacantes intentarán utilizar. Active la autenticación de dos factores siempre que sea posible.

Examine con atención las alertas de inicios de sesión sospechosos, los mensajes de restablecimiento de contraseñas, las notificaciones de pedidos inesperados y las solicitudes falsas de atención al cliente. No actúe precipitadamente ante mensajes que utilicen el nombre de Disk Union e inicie cualquier gestión de su cuenta escribiendo la dirección directamente en el navegador. Como también se incluyen direcciones personales y datos telefónicos, evalúe por separado las solicitudes de verificación por teléfono o las peticiones de información con el pretexto de cobrar gastos de entrega o completar formularios de devolución. Aunque se informó de que los datos de tarjetas de crédito quedaban fuera del alcance de este incidente, siga vigilando los pagos sospechosos como parte de la supervisión general de su seguridad.

La filtración de datos de Disk Union demuestra que las contraseñas utilizadas en registros antiguos pueden seguir suponiendo un riesgo durante mucho tiempo. Revise periódicamente dónde ha utilizado la misma contraseña, cierre las cuentas que ya no use y emplee métodos de autenticación sólidos en las cuentas importantes. Proteja especialmente sus cuentas de correo electrónico, ya que los enlaces para restablecer contraseñas suelen llegar por esa vía. Si un atacante accede a su cuenta de correo electrónico, puede producirse una cadena de apropiación de cuentas más amplia, que no se limite a Disk Union.

Para las empresas, este incidente pone de relieve el gran riesgo que supone almacenar contraseñas en texto plano en los sistemas de las tiendas en línea. Las contraseñas deben protegerse con métodos sólidos, unidireccionales y actualizados; deben reducirse los plazos innecesarios de conservación de datos personales, y el acceso a campos como los números de miembro, las direcciones y los números de teléfono debe limitarse mediante autorizaciones por capas. Las evaluaciones periódicas de vulnerabilidades, la supervisión de registros de actividad, la detección temprana de exportaciones inusuales de datos y las pruebas de los planes de respuesta a incidentes reducen el impacto de filtraciones similares de datos de clientes.

La coincidencia que aparece en este registro indica que su dirección de correo electrónico podría estar asociada a una de las direcciones de correo electrónico únicas incluidas en el conjunto de datos de la filtración de Disk Union. Una coincidencia no significa necesariamente que toda su información de cliente se haya visto comprometida; aun así, debe tomarse en serio, ya que el incidente incluye contraseñas en texto plano, datos de contacto e identificadores de miembro. La prioridad es cambiar las contraseñas de las cuentas que comparten la misma contraseña y proteger mejor su cuenta de correo electrónico. Aunque la contraseña antigua siga activa en un solo servicio, podría suponer un riesgo en intentos automatizados de inicio de sesión años después.

Si tiene una cuenta de Disk Union o Audio Union, revise su historial y la dirección de contacto, y busque indicios de sesiones o transacciones que no reconozca. Una vez que cambie la contraseña, no vuelva a utilizarla en ningún servicio. Desconfíe de los mensajes que parezcan personalizados por incluir datos telefónicos, de dirección o de membresía; inicie las gestiones legítimas de atención al cliente directamente desde el sitio oficial. El objetivo de este registro es dar visibilidad al incidente sin exagerarlo, limitarse a los campos de datos verificados y ofrecer al usuario medidas concretas para mejorar la seguridad de la cuenta.