Filtración de datos de Eatigo

Las direcciones de correo electrónico, los números de teléfono y los nombres y apellidos incluidos en el registro de Eatigo facilitan el contacto directo con el usuario. En el contexto de las reservas de restaurantes, estos datos hacen más creíbles los engaños de ingeniería social, como las falsas confirmaciones de reserva, los avisos de cancelación, los cupones de descuento, las solicitudes de verificación de cuenta o los mensajes de atención al cliente. Si también se dispone de información de género y perfiles de redes sociales, el atacante puede enviar mensajes más personalizados a la persona a la que se dirige.

El campo de contraseña supone uno de los riesgos más importantes. Un hash MD5 sin sal es más débil que los métodos modernos de almacenamiento de contraseñas reforzados con un valor de sal único. Esto no significa que todas las contraseñas puedan descifrarse al instante, pero el riesgo aumenta considerablemente en el caso de contraseñas incluidas en listas de contraseñas comunes o reutilizadas. Cuando se combina con un número de teléfono, el riesgo asociado a la contraseña puede potenciar no solo el phishing por correo electrónico, sino también las estafas mediante llamadas falsas y SMS.

El alcance principal verificado de este registro es de 2 789 609 cuentas. El contexto técnico del incidente está relacionado con una antigua base de datos que, tras una transición de la plataforma, no se mantuvo debidamente en el inventario y siguió siendo accesible desde internet. Aunque la venta de los datos se detectó en 2020, la última actualización de la base de datos y el contexto del incidente apuntan a 2018. Por tanto, no debe confundirse la fecha de la filtración con la fecha en que se hizo pública.

Las categorías de datos verificadas son direcciones de correo electrónico, género, nombres, contraseñas, números de teléfono y perfiles de redes sociales. La información de tarjetas de pago no forma parte del alcance verificado de este incidente; en sus declaraciones, la empresa indicó que el sistema no almacena información de tarjetas de crédito. Aunque distintas fuentes ofrecen afirmaciones más detalladas sobre los campos vinculados a redes sociales, en este registro la categoría de datos debe mantenerse como perfiles de redes sociales. Así se refleja el riesgo sin presentar al usuario otros campos no verificados como información definitiva.

El grupo de mayor riesgo está formado por las personas que también utilizan la contraseña de su cuenta de Eatigo en otros servicios. Si la misma combinación de correo electrónico y contraseña se repite en cuentas de redes sociales, correo electrónico, entrega de comida, compras o programas de fidelización, el riesgo de un antiguo registro de reservas de restaurantes puede extenderse a otras cuentas. El número de teléfono y los nombres y apellidos también pueden ayudar a un atacante a contactar directamente con el usuario para iniciar un procedimiento falso de seguridad o de reserva.

Los usuarios que realizan reservas de restaurantes en Singapur, Hong Kong, Tailandia y la región también pueden ser objeto de ataques que utilicen campañas locales y mensajes relacionados con las reservas. Si una persona ha vinculado su cuenta de Eatigo con su perfil de redes sociales, un atacante puede recopilar más información de contexto de ese perfil para personalizar el mensaje. En el caso de los usuarios registrados con una dirección de correo electrónico corporativa, el riesgo puede extenderse a su cuenta de trabajo; los mensajes enviados con el pretexto de reservas de restaurantes o eventos pueden convertirse en intentos de phishing dirigidos a empleados.

Si su dirección de correo electrónico aparece en el registro de Eatigo, el primer paso es asegurarse de que no utiliza la contraseña de su cuenta de Eatigo en ninguna otra cuenta. Si ha utilizado la misma contraseña o una similar, debe cambiar de inmediato las contraseñas de sus cuentas de correo electrónico, redes sociales, entrega de comida, compras y cuentas vinculadas a pagos. Las nuevas contraseñas deben ser únicas y almacenarse en un gestor de contraseñas. No basta con añadir un número al final de la contraseña antigua.

Tenga precaución con los mensajes de texto y las llamadas, ya que su número de teléfono y sus nombres y apellidos también podrían haberse filtrado. No haga clic directamente en enlaces que lleguen con el pretexto de una cancelación de reserva, descuentos en restaurantes, una verificación de cuenta o controles de seguridad. Si necesita acceder a su cuenta, escriba la dirección manualmente en el navegador o utilice la aplicación oficial. Active la autenticación de dos factores en las cuentas que la admitan y compruebe si hay sesiones desconocidas en su cuenta de correo electrónico.

El incidente de Eatigo demuestra que las antiguas bases de datos y los sistemas que quedan atrás durante las transiciones de plataforma pueden suponer riesgos graves. Las organizaciones deben mantener actualizado su inventario de datos, desactivar las bases de datos que ya no utilizan y aislar los entornos de copia de seguridad y los sistemas heredados mediante controles de acceso. En cuanto al almacenamiento de contraseñas, no deben utilizarse métodos antiguos como MD5 sin sal; deben preferirse algoritmos hash robustos, con sal y lentos. Los datos personales deben conservarse solo durante el tiempo necesario, y los registros antiguos deben depurarse periódicamente.

Para los usuarios, la estrategia a largo plazo consiste en no reutilizar nunca las contraseñas, no proporcionar números de teléfono en cuentas donde no sean necesarios y limitar las vinculaciones con redes sociales. Si las cuentas de restaurantes, viajes, compras y entregas se gestionan con direcciones de correo electrónico distintas, será más difícil vincular una filtración de un servicio con otros perfiles. Las organizaciones también deben reducir el uso del correo electrónico de trabajo por parte de sus empleados en servicios personales y combinar las comprobaciones de contraseñas filtradas con la concienciación sobre el phishing.

Si su dirección de correo electrónico aparece en este registro, revise no solo su cuenta de Eatigo, sino también cualquier otra cuenta que haya utilizado durante el mismo período con la misma contraseña o el mismo número de teléfono. Aunque la contraseña esté almacenada como un hash, utilizarla también en otros servicios supone un riesgo grave debido a la debilidad de MD5 sin sal. La combinación del número de teléfono y el perfil de redes sociales puede utilizarse para enviar mensajes de soporte falsos o realizar intentos de phishing personalizados.

Lo adecuado es establecer una contraseña única, activar la verificación en dos pasos en las cuentas importantes y no actuar ante mensajes sospechosos sobre reservas o seguridad sin comprobar su autenticidad. Recuerde que la información de tarjetas de pago no está verificada en este registro; aun así, la combinación de correo electrónico, teléfono, nombre, perfil de redes sociales y una contraseña almacenada con un hash débil ya supone un riesgo suficientemente grave. Estas medidas reducen el riesgo de que la filtración de datos de Eatigo afecte a otras cuentas y a la seguridad actual de su identidad.