Filtración de datos de EatStreet

La combinación de datos del registro de EatStreet genera riesgos en varios niveles. Cuando una dirección de correo electrónico, un número de teléfono, un nombre completo y una dirección física aparecen juntos, un atacante puede contactar directamente con el usuario y enviarle mensajes falsos sobre entregas, pedidos, devoluciones o verificaciones de tarjetas. La fecha de nacimiento y la información de género aportan contexto adicional que puede utilizarse indebidamente en procesos de recuperación de cuentas o en preguntas de autenticación. Por su parte, los perfiles de redes sociales pueden ayudar a vincular a la persona con sus otras cuentas en línea.

Aunque el campo de contraseña esté en formato de hash bcrypt, el riesgo persiste. Bcrypt es un algoritmo de hash moderno y lento, pero las contraseñas débiles o reutilizadas siguen siendo un posible objetivo para los atacantes. Los datos parciales de tarjetas de crédito pueden no suponer un riesgo financiero tan claro como la información completa de la tarjeta; sin embargo, al combinarse con sus últimos dígitos, la dirección de facturación o el número de teléfono, pueden hacer más convincentes las llamadas bancarias falsas y los fraudes de verificación de pagos. En el caso de los socios, también debe tenerse en cuenta el riesgo asociado a la información de cuentas bancarias y números de ruta bancaria.

El alcance principal verificado de este registro es de 6 353 564 cuentas. La fecha del incidente figura como el 3 de mayo de 2019; según lo informado, el acceso no autorizado se detectó y se detuvo el 17 de mayo de 2019. Las categorías de datos son amplias, pero no debe suponerse que todos los campos estén presentes para cada usuario. Los registros de clientes, restaurantes asociados y socios de reparto pueden contener campos distintos. Por tanto, la descripción no debe incluir afirmaciones categóricas que den a entender que se filtraron los datos bancarios o los números completos de tarjeta de todos los usuarios.

Las principales categorías de datos verificadas en el ámbito de la consulta pública incluyen fecha de nacimiento, correo electrónico, género, nombre, datos parciales de tarjetas de crédito, contraseña, teléfono, dirección física y perfil de redes sociales. En las notificaciones a los socios aparecen campos como el nombre del servicio de reparto, el nombre del socio, el correo electrónico, el teléfono y la información bancaria o de ruta bancaria; estos campos deben evaluarse para cada socio por separado. En el caso de los clientes, los datos parciales de tarjetas y el contexto de facturación y entrega aumentan el riesgo de ingeniería social. Esta distinción es importante para tomar las precauciones adecuadas sin alarmar innecesariamente al usuario.

El grupo de mayor riesgo está formado por clientes que hacen pedidos a través de EatStreet y reutilizan la misma contraseña en otras cuentas. El correo electrónico, el teléfono, la dirección y el contexto de los pedidos permiten al atacante preparar mensajes sobre entregas o pagos que parezcan auténticos. Si también se incluyen datos parciales de tarjetas, puede resultar más fácil persuadir al usuario durante llamadas falsas del banco o de verificación de tarjetas. Las fechas de nacimiento pueden facilitar que se adivinen las respuestas a preguntas de verificación poco seguras utilizadas en los procesos de recuperación de cuentas.

Los restaurantes asociados y los socios de reparto también están expuestos a un riesgo elevado. Dado que las notificaciones a los socios contienen campos financieros, como números de cuenta bancaria y números de ruta bancaria, las precauciones de este grupo no deben limitarse a la seguridad de las contraseñas o del correo electrónico. Es necesario supervisar los pagos de las cuentas empresariales, las operaciones bancarias y los intentos de transferencia de dinero no autorizados. Los empleados de restaurantes o propietarios de negocios que se registran con una dirección de correo electrónico corporativa pueden ser objetivo de facturas falsas, avisos falsos de actualización de pagos y mensajes fraudulentos que aparenten proceder del soporte de la plataforma.

Si ha reutilizado la contraseña de su cuenta de EatStreet en otra cuenta, cámbiela de inmediato. Aunque el uso de un hash Bcrypt es una buena protección técnica, no hace seguras las contraseñas reutilizadas. Utilice contraseñas únicas para sus cuentas de correo electrónico, redes sociales, reparto de comida, compras y servicios vinculados a pagos, y active la autenticación de dos factores. Evite también usar la misma base de contraseña o bases similares; los atacantes pueden probar variaciones a partir de indicios sobre contraseñas filtradas.

Los clientes deben vigilar con atención los movimientos de sus tarjetas, los mensajes sospechosos sobre entregas y las solicitudes de verificación de cuentas. Conviene activar las alertas de operaciones sospechosas que ofrece el emisor de su tarjeta. Como las direcciones y los números de teléfono pueden haberse filtrado, preste atención no solo a los correos electrónicos, sino también a los mensajes de texto y las llamadas. Los restaurantes y los socios de reparto deben comprobar los movimientos de sus cuentas bancarias, examinar si hay cambios inesperados en las instrucciones de pago y revisar los usuarios autorizados en sus cuentas empresariales.

El incidente de EatStreet demuestra que los datos de los clientes y los datos financieros de los socios deben protegerse bajo un mismo marco de seguridad en los ecosistemas de pedidos y reparto de comida. Las organizaciones deben supervisar de cerca el acceso a las bases de datos, evitar conservar campos innecesarios, depurar periódicamente los registros antiguos y limitar los datos de tarjetas a tokens o a sus últimos dígitos siempre que sea posible. Deben utilizarse métodos robustos como bcrypt para almacenar las contraseñas, junto con una política de contraseñas sólida y autenticación multifactor.

Para los usuarios, una estrategia a largo plazo consiste en mantener separadas las cuentas de pedidos de comida, compras y pagos mediante contraseñas únicas y en no compartir información del perfil de forma innecesaria. Datos como la dirección, el número de teléfono y la fecha de nacimiento son difíciles de cambiar, por lo que, una vez filtrados, pueden utilizarse durante mucho tiempo en fraudes dirigidos. Las empresas y los socios deben reforzar el acceso basado en roles, la aprobación de operaciones y los procesos de supervisión de movimientos bancarios en las plataformas que contienen información de cuentas financieras.

Si su dirección de correo electrónico aparece en este registro, revise no solo su cuenta de EatStreet, sino también todas las cuentas en las que utilice la misma contraseña. Tenga precaución con los mensajes sospechosos sobre pedidos de comida, entregas, devoluciones y verificaciones bancarias o de tarjetas. Los datos parciales de tarjetas de crédito y la información de la dirección pueden hacer que las conversaciones falsas con supuestos servicios de atención al cliente resulten convincentes. Si observa una operación que no reconoce en su tarjeta, contacte directamente con el emisor y no haga clic en los enlaces del mensaje.

Si es un socio de restauración o reparto, revise también los movimientos de sus cuentas financieras y la configuración de pagos. Las notificaciones que contienen información de cuentas bancarias o números de ruta bancaria corresponden al ámbito de los socios; por ello, es importante verificar que no se hayan realizado cambios no autorizados en las cuentas empresariales. La filtración de datos de EatStreet muestra que la combinación de datos de perfiles de clientes, datos financieros parciales y hashes de contraseñas puede generar riesgos de ingeniería social y de seguridad de las cuentas a largo plazo.