Filtración de datos de Drizly

Los tipos de datos verificados de una cuenta de Drizly son fechas de nacimiento, información de dispositivos, direcciones de correo electrónico, direcciones IP, nombres, números de teléfono, direcciones físicas y hashes de contraseñas generados con bcrypt. La fecha de nacimiento y la dirección permiten construir un perfil de identidad más completo. Cuando se dispone tanto del teléfono como del correo electrónico, los mensajes falsos de soporte, entrega, verificación de edad o actualización de la cuenta pueden resultar más convincentes. La dirección IP y la información del dispositivo pueden aportar pistas adicionales sobre el entorno de red aproximado del usuario y el tipo de dispositivo que utiliza.

Que los hashes de contraseñas estén protegidos con bcrypt supone una situación más favorable que una filtración de contraseñas en texto plano. Sin embargo, el riesgo persiste cuando las contraseñas son débiles, cortas o se reutilizan. Si se usaron el mismo correo electrónico y la misma contraseña en otras cuentas de compras, entregas, correo electrónico o redes sociales, los atacantes podrían probar esa combinación. El hecho de que se trate de un servicio de pedidos de bebidas alcohólicas también aumenta las implicaciones para la privacidad: la edad, la dirección y el contexto de consumo del usuario podrían servir de base para mensajes más dirigidos. Por ello, la filtración de datos de Drizly debe evaluarse no solo desde la perspectiva del cambio de contraseñas, sino también de la seguridad de las comunicaciones y de la dirección física.

El incidente verificado corresponde a julio de 2020 y está asociado a 2 479 044 direcciones de correo electrónico únicas. Distintas fuentes pueden mencionar aproximadamente 2,5 millones de clientes; esta cifra redondeada es coherente con el número de correos electrónicos únicos del registro. Los documentos de las autoridades reguladoras también abordan vulnerabilidades de seguridad anteriores de Drizly y deficiencias relacionadas con la seguridad de las cuentas de los empleados. Esta información aporta contexto técnico; no obstante, el principal riesgo que debe mostrarse al usuario se refiere a los campos de datos de clientes verificados y a la posibilidad de que se utilicen indebidamente.

Es importante no ampliar el alcance. En este registro, el número completo de la tarjeta de crédito, la cuenta bancaria, el número de documento oficial de identidad, el contenido de los pedidos y la contraseña en texto plano no figuran como categorías de datos verificadas. El riesgo de las contraseñas debe interpretarse teniendo en cuenta el uso de hashes bcrypt. El cierre posterior de Drizly no elimina el impacto de los datos de 2020, ya que campos como el correo electrónico, el teléfono, la fecha de nacimiento y la dirección pueden permanecer sin cambios durante mucho tiempo. Este registro se limita al incidente de datos de clientes de Drizly de 2020; no debe confundirse con otros servicios de Uber ni con incidentes posteriores independientes.

El grupo de mayor riesgo está formado por los clientes que crearon una cuenta de Drizly o pidieron bebidas alcohólicas a través de Drizly antes de 2020. Las personas que utilizan la misma dirección de correo electrónico en otras cuentas de entregas, compras de supermercado, compras en general o correo electrónico pueden ser un objetivo más fácil. La fecha de nacimiento y la dirección pueden hacer que los mensajes fraudulentos parezcan personalizados para cada persona. En el caso de los usuarios cuyos registros incluyen un número de teléfono, cabe esperar llamadas falsas sobre entregas, verificación de edad, actualizaciones de la cuenta o promociones.

Los usuarios que reutilizan la misma contraseña en distintos servicios también están en riesgo. Aunque la protección mediante hashes bcrypt dificulta leer la contraseña de forma inmediata, sigue existiendo el riesgo de intentos de uso indebido de contraseñas antiguas y débiles. Incluso si Drizly ya no se utiliza como servicio independiente, su antigua contraseña de Drizly podría seguir en uso en su cuenta de correo electrónico, su cuenta de Uber, plataformas de entregas u otras cuentas de tiendas. Los campos que no cambian, como la dirección física y la fecha de nacimiento, pueden utilizarse en mensajes de phishing personalizados incluso años después del incidente.

Si la contraseña utilizada en la cuenta de Drizly sigue usándose en otros servicios, debe cambiarse de inmediato. Si se ha utilizado la misma contraseña o una similar en el correo electrónico, cuentas de compras, de entregas, vinculadas a pagos o en la cuenta de Uber, debe asignarse una contraseña única a cada una. La cuenta de correo electrónico debe protegerse con autenticación de dos factores. Si no es posible acceder a la antigua cuenta de Drizly, deben revisarse las demás cuentas vinculadas a la misma dirección de correo electrónico y debe cerrarse cualquier sesión sospechosa.

Conviene prestar atención a los mensajes sobre entregas, verificación de edad, actualización de la afiliación o campañas recibidos por teléfono y correo electrónico. Aunque la fecha de nacimiento, la dirección o el número de teléfono de la persona aparezcan correctamente en el mensaje, este no debe considerarse fiable. En lugar de hacer clic en los enlaces, debe abrirse directamente la dirección del servicio correspondiente. Deben rechazarse las solicitudes de números de tarjeta, códigos de un solo uso, información bancaria o contraseñas. Aunque los datos financieros no estén verificados en este registro, la información personal filtrada puede utilizarse más adelante para engañar a alguien y conseguir que facilite información financiera.

A largo plazo, conviene revisar periódicamente la dirección, el número de teléfono y la fecha de nacimiento almacenados en las cuentas de entregas y comercios. Deben cerrarse las cuentas que no se utilizan y eliminarse las direcciones obsoletas; para las cuentas destinadas a campañas, conviene usar direcciones de correo electrónico separadas en lugar del correo principal. Un gestor de contraseñas facilita comprobar si una antigua contraseña de Drizly sigue utilizándose en otras cuentas. Dado que la dirección física y la fecha de nacimiento son datos que no cambian, los mensajes personalizados relacionados con esa información deben tratarse con cautela incluso años después.

En el ámbito empresarial, el incidente de Drizly muestra que las cuentas de desarrolladores y las credenciales de acceso a la nube pueden representar un riesgo directo para la base de datos de clientes. El principio de mínimo privilegio, la rotación periódica de las claves de acceso, una autenticación robusta en las cuentas de los empleados, las alertas de acceso inusual a los datos y la eliminación de datos de clientes innecesarios son medidas fundamentales. Las decisiones de las autoridades reguladoras sobre Drizly también destacan la importancia de la minimización de datos y de la responsabilidad personal. Cuando se reduce al mínimo la cantidad de datos de clientes almacenados, también se limita el alcance del impacto en caso de filtración.

Si encuentra una coincidencia en este registro, su dirección de correo electrónico podría estar entre las 2 479 044 direcciones únicas asociadas a la filtración de datos de Drizly. Una coincidencia no significa que se haya filtrado el número completo de su tarjeta ni su contraseña en texto plano. Sin embargo, indica que campos como la fecha de nacimiento, la dirección, el número de teléfono, la información del dispositivo, la dirección IP y el hash de contraseña bcrypt suponen un riesgo de seguridad. El primer paso es comprobar si la contraseña que utilizaba cuando usaba Drizly sigue en uso en otras cuentas.

Aunque Drizly ya no sea una aplicación independiente, los datos filtrados todavía pueden resultar útiles para los atacantes a través de información antigua de correo electrónico, teléfono y dirección. Tenga cuidado con los mensajes sobre entregas, verificación de edad, actualizaciones de la cuenta o campañas. Que un mensaje incluya detalles sobre usted no lo hace fiable. Proteja las cuentas de correo electrónico, de entregas y vinculadas a pagos que correspondan. La forma adecuada de abordar la filtración de datos de Drizly no es verla como un conjunto de registros antiguos de un servicio que ha cerrado, sino reconocer que los datos personales que perduran aún pueden utilizarse en ingeniería social.