Filtración de datos de DoorDash

Los tipos de datos verificados en el registro de DoorDash son direcciones de correo electrónico, nombres, números de teléfono, direcciones de entrega o códigos postales, información básica de pedidos y datos parciales de tarjetas de pago. La combinación de correo electrónico, nombre y número de teléfono hace más convincentes los mensajes que suplantan al servicio de asistencia, las notificaciones falsas de problemas con las entregas o las solicitudes fraudulentas de verificación de cuentas. La dirección de entrega y el código postal aportan contexto sobre la zona en la que vive la persona o donde suele realizar pedidos. Aunque esta información por sí sola no constituye un robo completo de identidad, facilita la personalización de los mensajes fraudulentos.

Aunque la información parcial de las tarjetas es limitada, no carece por completo de utilidad para cometer fraudes. El tipo de tarjeta y los últimos cuatro dígitos pueden utilizarse indebidamente en una conversación que suplante al servicio de atención al cliente para ganarse la confianza del usuario. Como el registro no incluye el número completo de la tarjeta ni la cuenta bancaria, no permite establecer un riesgo de retirada directa de fondos de la tarjeta; sin embargo, cabe esperar mensajes que intenten persuadir al usuario para que facilite información adicional. Si se accedió a información básica de pedidos de un grupo más reducido, los engaños relacionados con devoluciones, entregas no recibidas, cupones o ajustes de cargos pueden parecer más creíbles.

El incidente verificado corresponde a agosto de 2022 y está vinculado a una campaña de phishing que comenzó a través de la red de proveedores. DoorDash declaró que, tras detectar actividad inusual, deshabilitó el acceso del proveedor y contuvo el incidente. Este informe registra la cifra de afectados como 367 476 direcciones únicas de correo electrónico personal. El comunicado oficial no afirma que todos los usuarios de DoorDash se vieran afectados; indica que se vieron afectados datos de un pequeño porcentaje de ellos. Los campos de datos afectados también pueden variar de una persona a otra.

Es especialmente importante tener en cuenta los límites del incidente. No se informó de que se hubiera accedido a contraseñas, números completos de tarjetas de pago, números de cuentas bancarias, números de seguridad social ni números de seguro social. Por tanto, no debe tratarse al usuario como si se hubieran filtrado su contraseña o los datos completos de su tarjeta. Los datos parciales de tarjetas se refieren únicamente a un conjunto limitado de identificadores. Además, este registro no corresponde al incidente de DoorDash de 2019, que afectó a aproximadamente 4,9 millones de personas. El incidente del proveedor de 2022 tiene un alcance menor, pero, como filtración independiente, requiere atención por el contexto que aportan los datos de entregas y la información parcial de pagos.

El grupo de mayor riesgo está formado por los consumidores cuyos datos conservaba DoorDash en 2022 y que recibieron una notificación relacionada con el incidente. Las personas cuyos datos incluyen un número de teléfono y una dirección de entrega pueden ser objeto de mensajes que suplanten a repartidores o al servicio de atención al cliente, o que prometan reembolsos de pedidos. Para los usuarios del grupo más reducido con datos parciales de tarjetas o información básica de pedidos, los mensajes pueden resultar más convincentes, ya que el atacante puede intentar dar credibilidad a la conversación utilizando detalles como los últimos cuatro dígitos de la tarjeta o el contexto de pedidos anteriores.

Los repartidores conocidos como Dashers también pueden estar incluidos en el incidente. El comunicado oficial indicó que el nombre, el número de teléfono o la dirección de correo electrónico de este grupo podrían haberse visto afectados. Estas personas podrían ser objeto de mensajes o llamadas fraudulentos sobre pagos, transferencias de ingresos, verificación de cuentas o asistencia. Los datos de restaurantes y proveedores no son el foco principal de este registro; sin embargo, dadas las distintas funciones dentro del ecosistema de DoorDash, los usuarios deben comprobar con atención a qué tipo de cuenta se refiere cada mensaje. La filtración de datos de DoorDash aumenta especialmente el riesgo de ingeniería social mediante llamadas telefónicas y mensajes de texto.

Ante correos electrónicos, mensajes de texto o llamadas inesperados relacionados con DoorDash, no abra enlaces ni comparta códigos de un solo uso. Los mensajes que afirmen tratar sobre direcciones de entrega, devoluciones de pedidos, verificación de cuentas o correcciones de pagos deben comprobarse directamente en la aplicación oficial o en la cuenta web. No confíe en quien llama solo porque conozca información parcial de su tarjeta; los equipos legítimos de asistencia no deberían pedirle el número completo de la tarjeta, la cuenta bancaria, la contraseña ni un código de verificación de un solo uso.

Utilizar una contraseña segura y exclusiva para su cuenta de DoorDash sigue siendo una buena medida de seguridad. No obstante, como en este incidente no se informó de acceso a las contraseñas, la principal medida urgente es mantenerse alerta ante el riesgo de ingeniería social. Si aumentan los mensajes o llamadas no deseados en su línea telefónica, utilice filtros tanto en el dispositivo como a través del operador. Revisar los movimientos inusuales en los estados de cuenta de sus tarjetas debe mantenerse como hábito general de seguridad; sin embargo, el alcance verificado de este registro no incluye números completos de tarjetas ni cuentas bancarias. Las solicitudes de transferencias de ingresos, cambios de cuenta bancaria o llamadas de asistencia dirigidas a Dashers requieren una verificación adicional.

A largo plazo, conviene revisar periódicamente las direcciones, los números de teléfono y la información sobre métodos de pago que se conservan en las cuentas de compras y entregas. Elimine las direcciones que ya no utilice y los métodos de pago innecesarios, y dé preferencia a direcciones de correo distintas de la principal para las cuentas utilizadas en campañas promocionales. Los usuarios no deben emplear el mismo patrón de contraseña en distintas plataformas de entrega. La cuenta de correo electrónico debe estar bien protegida, ya que los enlaces de recuperación de las cuentas de entrega suelen llegar por correo electrónico.

Desde la perspectiva empresarial, el incidente de DoorDash demuestra que el acceso de proveedores externos supone un riesgo directo para los datos de los clientes. Para los proveedores, son necesarios el principio de mínimo privilegio, el acceso temporal, la autenticación robusta, las alertas de acceso inusual y la verificación de empleados resistente al phishing. Las plataformas de entrega deben proteger los datos de los usuarios no solo dentro de sus propios sistemas, sino también a través de los proveedores que utilizan. Aunque los datos parciales de tarjetas y pedidos parezcan limitados, su impacto en la confianza del cliente y en el riesgo de fraude es significativo.

Si encuentra una coincidencia en este registro, es posible que su dirección de correo electrónico se haya encontrado entre las 367 476 direcciones únicas asociadas a la filtración de datos de DoorDash de 2022. Una coincidencia no significa que se hayan filtrado su contraseña o el número completo de su tarjeta. Sin embargo, indica que datos como su nombre, correo electrónico, teléfono o dirección de entrega, o la información básica de pedidos y los datos parciales de tarjetas de un grupo más reducido, podrían suponer un riesgo. El primer paso es revisar su cuenta de DoorDash a través del canal oficial y desconfiar de los mensajes inesperados.

Es posible que su dirección de entrega, su número de teléfono o la información parcial sobre sus pagos se utilicen en un mensaje fraudulento. Por tanto, no facilite códigos de un solo uso, números completos de tarjetas, información bancaria ni contraseñas a nadie que afirme ser un representante del servicio de asistencia. Las solicitudes de transferencia de ingresos y de verificación de cuentas dirigidas a Dashers deben comprobarse directamente en la aplicación oficial. La respuesta adecuada ante una filtración de datos de DoorDash consiste en reconocer que los datos verificados procedentes del proveedor pueden utilizarse en ataques de ingeniería social, sin exagerar el incidente presentándolo como una filtración completa de información financiera, y reforzar la seguridad de la cuenta y de las comunicaciones.