Filtración de datos de Dunzo

Los tipos de datos verificados son información del dispositivo, direcciones de correo electrónico, información de ubicación geográfica, direcciones IP, nombres y números de teléfono. La combinación de teléfono y correo electrónico permite llevar a cabo fraudes dirigidos mediante mensajes de texto, llamadas y correos electrónicos. El nombre permite personalizar el mensaje. Los campos de dirección IP y ubicación geográfica pueden aportar contexto sobre la zona aproximada del usuario o la ciudad donde utiliza el servicio. La información del dispositivo puede ofrecer una pista adicional sobre el tipo de dispositivo o el perfil técnico utilizado.

En este caso, como no se ha confirmado una filtración de contraseñas, el riesgo directo de toma de control de cuentas es más limitado que en las filtraciones que sí incluyen contraseñas. Sin embargo, los datos de contacto y ubicación son muy útiles para la ingeniería social. Un atacante puede solicitar información adicional al usuario con el pretexto de cambiar la dirección de entrega, reembolsar un pago, gestionar un retraso en el pedido, ofrecer un código promocional o actualizar la cuenta. Para los usuarios con un número de teléfono, las llamadas y los mensajes de texto falsos suponen un riesgo mayor. El contexto geográfico puede hacer que el mensaje parezca adecuado para la zona donde el usuario vive o recibe servicios.

La fecha verificada del incidente figura como el 19 de junio de 2020, y el registro se añadió a las listas de filtraciones verificadas el 29 de julio de 2020. El número de direcciones de correo electrónico únicas afectadas es de 3 465 259. Algunas noticias pueden citar cifras de alrededor de 3,4 millones, 3,5 millones o superiores; esta página se basa en el número de direcciones de correo electrónico únicas verificadas que se utiliza en la consulta. Se ha confirmado que el conjunto de datos circuló en foros en línea y se vinculó con datos de Dunzo.

No debe ampliarse el alcance. En este registro, las contraseñas, las tarjetas de pago, las cuentas bancarias, los documentos oficiales de identidad, las direcciones físicas, el contenido de los pedidos, las compras de medicamentos y el historial detallado de entregas no son categorías de datos verificadas. El campo de ubicación geográfica no significa que existan coordenadas GPS exactas de cada usuario; también puede referirse a una zona más limitada o a un contexto de ubicación. Por tanto, no debe hacerse creer a los usuarios que la dirección exacta de entrega o el historial detallado de pedidos forman parte del alcance verificado. El riesgo real consiste en el uso combinado de los datos de contacto, dispositivo, IP y ubicación.

El grupo de mayor riesgo está formado por clientes que utilizan servicios de entrega, compra de alimentos, paquetería o servicios dentro de la ciudad a través de Dunzo. Los usuarios con un número de teléfono y una dirección de correo electrónico pueden ser objeto de falsas actualizaciones de entrega o llamadas de atención al cliente. El nombre y el contexto de ubicación pueden hacer que el mensaje parezca basado en un historial real de uso del servicio. Para quienes utilizan el mismo número de teléfono en distintas cuentas de entregas y compras, aumenta el riesgo de que los ataques se dirijan también a esas otras cuentas.

Los usuarios que han recibido servicios en ciudades de India donde Dunzo opera pueden quedar más expuestos. La información de IP y dispositivo puede ayudar al atacante a personalizar el mensaje según un dispositivo concreto o un contexto regional. Como no se ha verificado la exposición de contraseñas, la prioridad inicial no debe ser cambiarlas, sino reconocer las comunicaciones falsas. Sin embargo, si la contraseña utilizada en la cuenta de Dunzo también se usa en otras plataformas y es débil, se recomienda utilizar una contraseña única y verificación adicional para mejorar la seguridad general de la cuenta. Este incidente es especialmente relevante por el riesgo de estafas telefónicas y de phishing mediante SMS.

Preste atención a los mensajes inesperados de entrega, devolución, promoción, verificación de cuenta o corrección de pagos que lleguen en nombre de Dunzo. Aunque su nombre, número de teléfono o ubicación aparezcan correctamente en el mensaje, eso no demuestra que sea seguro. En lugar de hacer clic en el enlace, acceda a la cuenta correspondiente directamente desde la dirección oficial o la aplicación. Si alguien que llama por teléfono le pide un número de tarjeta, información bancaria, un código de un solo uso, una contraseña o un documento de identidad, interrumpa el proceso.

Active la autenticación de dos factores en su cuenta de correo electrónico y utilice filtros contra el spam y el fraude en su línea telefónica. Puede revisar la información visible y las preferencias de comunicación de su cuenta de Dunzo. Como no se ha confirmado una filtración de contraseñas en este incidente, este registro por sí solo no justifica una alarma generalizada por las contraseñas; no obstante, utilizar una contraseña única en las cuentas críticas que usan el mismo correo electrónico sigue siendo una buena medida de seguridad. También debe comprobar por separado las solicitudes de pago y los pasos de verificación de cuenta de todos los mensajes relacionados con plataformas de entregas.

A largo plazo, conviene revisar periódicamente la información de teléfono y correo electrónico utilizada en las cuentas de entregas y compras. Utilizar una dirección distinta de la principal para promociones y servicios de entrega puede reducir el impacto de las filtraciones de datos en las cuentas principales. No comparta su número de teléfono en cuentas innecesarias, cierre las cuentas antiguas y reduzca al mínimo los campos visibles de su perfil. Recuerde que los campos técnicos, como la IP, el dispositivo y la ubicación, también son datos personales.

Desde la perspectiva de los operadores de plataformas, el incidente de Dunzo muestra que conceder acceso a sistemas de terceros supone un riesgo directo para los datos de los clientes. Deben limitarse los accesos de los proveedores, gestionarse el acceso a los datos de clientes según el principio de mínimo privilegio, supervisarse las exportaciones de grandes volúmenes de datos y evitarse la conservación innecesaria de datos de contacto, como el teléfono y el correo electrónico. Aunque los datos de pago no se vean afectados, el uso indebido de los datos de contacto y ubicación perjudica gravemente la confianza de los usuarios.

Si encuentra una coincidencia en este registro, es posible que su dirección de correo electrónico se haya encontrado entre las 3 465 259 direcciones únicas asociadas con la filtración de datos de Dunzo. Una coincidencia no significa que se hayan filtrado su contraseña, su tarjeta de pago o su historial de pedidos. Los campos verificados son información del dispositivo, correo electrónico, ubicación geográfica, dirección IP, nombre y número de teléfono. El primer paso es evaluar con mayor atención los mensajes relacionados con entregas que reciba en ese correo electrónico y número de teléfono.

No abra directamente los enlaces enviados en nombre de Dunzo o de plataformas de entregas similares; compruebe su cuenta a través del canal oficial. No comparta códigos de un solo uso, datos de tarjetas ni contraseñas ante solicitudes de pago, reembolso o verificación de cuenta recibidas por teléfono. La respuesta adecuada a una filtración de datos de Dunzo no es alarmarse por afirmaciones no verificadas sobre contraseñas o historial de pedidos, sino reconocer que los datos de contacto y ubicación podrían utilizarse en fraudes dirigidos y reforzar la seguridad de los mensajes.