Filtración de datos de DriveSure

Los tipos de datos verificados son direcciones de correo electrónico, nombres, números de teléfono, direcciones físicas, información de vehículos y una cantidad limitada de hashes de contraseñas. La información de los vehículos comprende la marca, el modelo, el número VIN y, en algunos registros, detalles relacionados con el kilometraje o el mantenimiento. El número VIN y el historial del vehículo pueden vincular directamente a una persona con un vehículo que posee o utiliza. Esta información puede servir para dar credibilidad a mensajes sobre seguros, mantenimiento, garantías, llamadas a revisión o registros de daños, así como a mensajes fraudulentos de compraventa de vehículos.

La distinción más importante en el campo de contraseña es si los datos se describen como una contraseña en texto sin formato o como un hash de contraseña bcrypt. Bcrypt dificulta la lectura directa de las contraseñas; sin embargo, no elimina por completo el riesgo cuando las contraseñas son débiles o se reutilizan. La combinación de dirección, teléfono e información del vehículo permite crear un perfil muy útil para el phishing y las estafas telefónicas. Un atacante podría utilizar la marca de su vehículo o información sobre su historial de mantenimiento para preparar falsas ofertas de ampliación de garantía, descuentos de mantenimiento, renovaciones de seguros o avisos de seguridad del vehículo.

La fecha verificada del incidente figura como el 19 de diciembre de 2020. El acceso no autorizado se detectó en diciembre de 2020 y en enero de 2021 se tuvo conocimiento de un intento de vender los datos a terceros no autorizados. El registro contiene 3 675 099 direcciones de correo electrónico únicas. Algunas noticias pueden mencionar aproximadamente 3,2 millones o 3,7 millones de personas; esta diferencia se debe a variaciones entre el recuento de filas, el de direcciones de correo electrónico únicas y las cifras redondeadas. La cifra principal utilizada en este registro corresponde al número de direcciones de correo electrónico únicas.

No debe ampliarse el alcance del incidente. La declaración de la empresa indicaba que el tercero no autorizado no había tenido acceso a información que pudiera utilizarse para abrir una cuenta de crédito; este registro tampoco incluye números de tarjeta de crédito, cuenta bancaria o identificación oficial entre las categorías de datos. No obstante, el nombre, la dirección, el teléfono, el correo electrónico, el VIN y los detalles del vehículo son valiosos para modalidades de fraude distintas de la suplantación de identidad. Debido a la pequeña cantidad de hashes de contraseñas, el riesgo relacionado con las contraseñas no es igual para todos los registros; aun así, no debe pasarse por alto la posibilidad de que se haya utilizado la misma contraseña en otros servicios.

El grupo con mayor riesgo está formado por los clientes que compran vehículos en concesionarios que utilizan DriveSure, reciben servicios de mantenimiento o están incluidos en el programa de mantenimiento y fidelización. Es posible que estas personas nunca hayan visto el nombre DriveSure; el registro puede haberse creado a través de los servicios del concesionario. También pueden estar en riesgo los antiguos propietarios de vehículos, los compradores de vehículos de segunda mano, los clientes cuyas garantías están sujetas a seguimiento y las personas que participan en determinadas campañas de servicio. Disponer de información sobre el vehículo permite a los atacantes crear escenarios más convincentes y centrados en él, en lugar de recurrir a ataques de phishing genéricos.

El riesgo tampoco desaparece por completo para las personas cuyos datos de dirección y teléfono están desactualizados. Las direcciones antiguas pueden vincularse con domicilios anteriores, vehículos que se poseyeron en el pasado o historiales de mantenimiento. Al combinarse con una dirección de correo electrónico actual, la información antigua sobre el vehículo puede convertir a un usuario en objetivo de mensajes falsos sobre garantías, mantenimiento, llamadas a revisión o seguros. Para el pequeño grupo cuyos registros contienen hashes de contraseñas, existe además el riesgo de que se pruebe la misma contraseña en otras cuentas. Por tanto, conviene prestar atención a las consecuencias de la filtración de DriveSure tanto en lo relativo al fraude en servicios del sector automotor como a la seguridad de las cuentas.

Actúe con cautela ante correos electrónicos y llamadas inesperados relacionados con DriveSure, concesionarios de automóviles, garantías, citas de mantenimiento o renovaciones de seguros. No dé por hecho que quien llama es de confianza solo porque conoce la marca, el modelo o el VIN de su vehículo. No siga adelante con solicitudes de pago, datos de tarjeta, códigos de un solo uso, datos de cuenta bancaria o documentos de identificación; contacte directamente con el concesionario o servicio correspondiente mediante números de teléfono conocidos. No gestione citas ni renovaciones de garantía a través de enlaces sospechosos.

Si conoce la contraseña utilizada en DriveSure o en la cuenta del concesionario correspondiente, cámbiela. Si ha utilizado la misma contraseña en otras cuentas de servicios del sector automotor, seguros, correo electrónico o compras, asigne también contraseñas únicas a esas cuentas. Proteja bien su cuenta de correo electrónico, active la autenticación de dos factores y actualice las opciones de recuperación. Revise periódicamente los documentos del vehículo, los registros de mantenimiento y los mensajes del seguro; compruebe cualquier pago de garantía o mantenimiento que no reconozca. Los filtros de llamadas no deseadas y las reglas del correo electrónico también reducen el riesgo de ingeniería social.

A largo plazo, conviene preguntar qué servicios de terceros tienen acceso a los datos durante los procesos de compra y mantenimiento del vehículo. Desactive los permisos de marketing innecesarios en los concesionarios y, cuando sea posible, actualice o elimine la información antigua de vehículos y direcciones. Utilizar una dirección de contacto distinta de la dirección de correo electrónico principal para los servicios del sector automotor puede reducir el impacto de las filtraciones en las cuentas principales. No comparta documentos sensibles ni información del VIN del vehículo en perfiles públicos; estos datos pueden utilizarse en mensajes falsos sobre mantenimiento y seguros.

En el ámbito empresarial, el incidente de DriveSure demuestra que es necesario proteger los datos de los clientes que conserva la cadena de concesionarios y proveedores de servicios. La información de un vehículo no es solo un registro técnico; son datos personales que vinculan a una persona con su dirección física, su historial de mantenimiento y sus hábitos de compra. Deben acortarse los plazos de conservación de datos, depurarse los registros antiguos de clientes, supervisarse las exportaciones de grandes volúmenes de datos y limitarse el acceso de los proveedores. Los hashes de contraseñas deben protegerse con métodos sólidos, y las notificaciones a los clientes deben ser claras y oportunas.

Si ve una coincidencia en este registro, es posible que su dirección de correo electrónico se haya encontrado entre las 3 675 099 direcciones únicas asociadas con la filtración de datos de DriveSure. Una coincidencia no significa necesariamente que usted haya abierto directamente una cuenta en DriveSure; su información puede haber llegado al sistema de DriveSure a través de un concesionario de automóviles o de una relación de servicio. Por tanto, debe revisar conjuntamente su historial de vehículos, sus relaciones anteriores con concesionarios y la dirección de correo electrónico correspondiente. Aunque el riesgo relacionado con los hashes de contraseñas afecta a una cantidad limitada de registros, debe cambiar las contraseñas reutilizadas.

La combinación de dirección, número de teléfono, correo electrónico e información del vehículo puede dar gran credibilidad a mensajes fraudulentos. Verifique las ofertas inesperadas de mantenimiento, garantía o seguro para su vehículo directamente a través del canal de comunicación oficial de la entidad correspondiente. Aunque no haya suficientes datos financieros para abrir una cuenta de crédito, el riesgo de phishing y de fraude centrado en el vehículo es real. La respuesta adecuada a la filtración de datos de DriveSure no consiste únicamente en cambiar una contraseña; también exige tener en cuenta el posible uso indebido a largo plazo de la información del vehículo, la dirección y los datos de contacto.