Filtración de datos de Dymocks de 2023

La combinación de dirección de correo electrónico, número de teléfono, nombre completo y dirección física en un registro de Dymocks facilita el contacto directo con el usuario. En el contexto de la venta de libros, esto ofrece a los atacantes la oportunidad de crear situaciones falsas relacionadas con pedidos, promociones, envíos, devoluciones o actualizaciones de membresía. Si también se incluyen la fecha de nacimiento y la información de género, los mensajes pueden parecer más personales y las respuestas a preguntas de verificación poco seguras utilizadas en algunos procesos de recuperación de cuentas podrían volverse predecibles.

Esta filtración no debe presentarse como un incidente de fraude directo con tarjetas ni de descifrado de contraseñas, porque no se ha verificado la presencia de contraseñas ni de tarjetas de pago. Sin embargo, los datos de perfil y de contacto, por sí solos, también suponen un riesgo grave de ingeniería social. La combinación de dirección física, teléfono y correo electrónico puede utilizarse en mensajes dirigidos al usuario con pretextos como entregas a domicilio, puntos de membresía, pedidos de libros o gastos de envío. Por lo tanto, un registro de Dymocks debe considerarse un riesgo persistente para los datos personales, aunque no incluya datos financieros.

La principal cifra de impacto verificada para este registro es de 836 120 direcciones de correo electrónico únicas. Se ha informado de un total aproximado de 1,24 millones de registros de contacto de clientes. Según la información disponible, el conjunto de datos abarca hasta junio de 2023 y la empresa detectó el incidente en septiembre de 2023. También se ha confirmado que los registros de clientes circularon en entornos de la web oscura. Por ello, deben distinguirse la fecha del incidente y la fecha de su anuncio público.

Las categorías de datos verificadas son fecha de nacimiento, correo electrónico, género, nombre, teléfono y dirección física. Algunas notificaciones a clientes mencionan detalles de membresía comercial, como el estado de la membresía o el nivel de la tarjeta de miembro; sin embargo, en este registro, las categorías principales deben mantenerse como datos personales de contacto y datos demográficos. Las contraseñas, las tarjetas de pago, los pasaportes, las licencias de conducir, los números de identificación y el historial de transacciones no deben incluirse en el alcance verificado de este registro. Este límite permite describir el riesgo con precisión sin generar una alarma innecesaria en el usuario.

El grupo de mayor riesgo incluye a quienes tienen una cuenta de cliente de Dymocks y han compartido su número de teléfono y dirección reales para pedidos de libros, membresías de fidelización o comunicaciones con la tienda. Estos usuarios pueden recibir mensajes falsos sobre campañas de libros, gastos de entrega, confirmaciones de devolución, puntos de membresía o actualizaciones de cuenta. Los usuarios cuyos datos incluyen la fecha de nacimiento deben extremar la precaución ante mensajes de phishing relacionados con descuentos de cumpleaños o beneficios de membresía.

Los clientes de Australia y de mercados cercanos pueden ser objeto de mensajes que imiten el lenguaje de las tiendas, los servicios de envío y los programas de fidelización locales. Para quienes utilizan la misma dirección de correo electrónico en otras cuentas de comercios, el riesgo consiste en que se vinculen sus distintas cuentas de compras. Los usuarios registrados con una dirección de correo corporativa también pueden recibir facturas falsas, invitaciones a eventos o mensajes sobre compras empresariales. Como se han filtrado datos difíciles de cambiar, como la dirección y el número de teléfono, el riesgo no se limita al periodo en que se anunció el incidente.

Si su dirección de correo electrónico aparece en el registro de Dymocks, revise con atención los mensajes de su bandeja de entrada sobre pedidos de libros, envíos, puntos de membresía, devoluciones o verificación de cuenta. En lugar de hacer clic en el enlace del mensaje, acceda directamente a su cuenta desde un navegador o desde la aplicación oficial. Aunque no se ha confirmado una filtración de contraseñas en este registro, si durante ese mismo periodo utilizó contraseñas débiles o reutilizadas, actualizarlas en sus cuentas importantes de compras y de correo electrónico es una buena medida de precaución.

Tenga cuidado con las solicitudes que reciba por mensaje de texto, llamada o correo postal, ya que su número de teléfono y su dirección física podrían haberse filtrado. No atienda sin verificación los mensajes que soliciten pagos con el pretexto de gastos de envío, confirmación de entrega, tarjetas de regalo o puntos de membresía. Compruebe si hay sesiones o reglas de reenvío que no reconozca en su cuenta de correo electrónico. Si otras cuentas de comercios registradas con la misma dirección de correo electrónico ofrecen autenticación de dos factores, actívela.

El incidente de Dymocks muestra que las empresas del sector minorista deben revisar periódicamente durante cuánto tiempo conservan datos personales duraderos, como la fecha de nacimiento, el género y la dirección, y con qué finalidad. Las organizaciones deben reducir la recopilación innecesaria de datos, limitar la conservación de registros de clientes antiguos o inactivos mediante políticas de retención y auditar periódicamente a los terceros con los que trabajan en materia de datos. La ausencia de contraseñas entre los datos personales no elimina la necesidad de minimizar los datos ni de controlar el acceso.

Para los usuarios, la estrategia a largo plazo consiste en evitar completar campos de perfil innecesarios en las cuentas de comercios y utilizar direcciones de correo electrónico distintas según su finalidad. Los datos permanentes, como las direcciones físicas y los números de teléfono, no pueden recuperarse una vez filtrados; por ello, es importante no compartirlos en formularios de campañas o membresías poco fiables. Los usuarios corporativos deben evitar abrir cuentas personales en comercios con sus direcciones de correo de trabajo y evaluar también los mensajes de compras y envíos que reciban para detectar posibles riesgos de phishing.

Si su dirección de correo electrónico aparece en este registro, no concluya que su contraseña o su tarjeta de pago se han filtrado; estos datos no forman parte del alcance verificado. Sin embargo, su nombre, dirección de correo electrónico, número de teléfono, dirección, fecha de nacimiento e información de género podrían figurar juntos. Esta combinación basta para personalizar mensajes fraudulentos. Evite los enlaces sospechosos, revise directamente su cuenta de Dymocks y verifique las solicitudes de contacto inesperadas a través de canales oficiales.

Lo adecuado es centrarse en prevenir el uso indebido de sus datos personales de contacto. Revise la seguridad de su correo electrónico, tenga precaución con los mensajes sospechosos que reciba en otras cuentas de comercios con los mismos datos de contacto y no acepte solicitudes de pago o verificación por teléfono. La filtración de datos de Dymocks muestra que las filtraciones pueden generar riesgos de ingeniería social a largo plazo incluso cuando no contienen datos financieros, si incluyen datos permanentes como la fecha de nacimiento, el número de teléfono y la dirección.