Filtración de datos de Elanic

En este caso, al analizar conjuntamente la dirección de correo electrónico, el nombre de usuario y la información de ubicación geográfica, se obtiene una imagen significativa del perfil del usuario. La dirección de correo electrónico ofrece un canal directo para contactar con la persona; el nombre de usuario puede coincidir con los alias que esa misma persona utiliza en distintas cuentas de moda, compras, redes sociales o comunidades. La información de ubicación geográfica, por su parte, puede permitir que el atacante se sirva del contexto de una ciudad, una región o un mercado para hacer que el mensaje resulte más convincente.

Como no se ha verificado una filtración de contraseñas, este registro no debe presentarse directamente como un incidente de robo de identidad. Aun así, la combinación de correo electrónico y nombre de usuario constituye un punto de partida suficiente para el phishing y las estafas relacionadas con la recuperación de cuentas. Por el contexto de la plataforma de compraventa de moda, los mensajes falsos sobre pedidos, devoluciones, entregas, actualizaciones de cuenta, cupones o verificación de vendedores pueden resultar más convincentes. Si se añaden referencias cercanas a la ubicación real del usuario, puede aumentar la credibilidad percibida del mensaje.

En el caso de Elanic, el alcance confirmado es de 2 325 283 direcciones de correo electrónico únicas. Dado que se ha informado de un total aproximado de 2,8 millones de filas, no debe confundirse el número de filas con el de usuarios únicos afectados. Este registro debe entenderse en el contexto de la exposición de datos de un antiguo servidor de pruebas o de su obtención por personas no autorizadas. El incidente se hizo público en enero de 2020; sin embargo, la antigüedad de los datos apunta al periodo 2016-2018.

Las categorías de datos verificadas son direcciones de correo electrónico, ubicaciones geográficas y nombres de usuario. Los números de teléfono, enlaces a redes sociales, tarjetas de pago, contraseñas, direcciones físicas, mensajes privados y documentos de identidad no deben figurar como campos verificados en este registro. Algunas evaluaciones secundarias pueden afirmar que se incluyen más campos; sin embargo, las categorías principales de datos de este registro mostrado al usuario deben mantenerse limitadas. De este modo, se comunica el riesgo con precisión y se evita inducir al usuario a error con afirmaciones no verificadas sobre datos personales.

El grupo de mayor riesgo incluye a quienes compran en Elanic, venden productos o han vinculado su perfil con información de ubicación. Estas personas pueden recibir mensajes de compradores o vendedores falsos, así como solicitudes de devolución, actualizaciones de entrega o mensajes de verificación de cuenta fraudulentos. Cuando la dirección de correo electrónico y el nombre de usuario aparecen juntos, el atacante puede investigar si la persona utiliza el mismo nombre de usuario en otras plataformas de compraventa o cuentas de redes sociales.

El contexto de ubicación es importante para quienes tienen una cuenta para comprar moda de estilo antiguo y de segunda mano orientada al mercado indio. Los mensajes que incluyen expresiones regionales, nombres de ciudades o términos locales relacionados con las entregas pueden resultar más convincentes. Para quienes se registraron con una dirección de correo corporativa, el riesgo puede manifestarse en mensajes dirigidos que pasan del contexto de una cuenta personal de compras al de una cuenta de trabajo. Por ello, los usuarios deben revisar no solo su cuenta de Elanic, sino también otras cuentas abiertas con el mismo correo electrónico y nombre de usuario.

Si su dirección de correo electrónico aparece en el registro de Elanic, el primer paso es actuar con cautela ante los mensajes que reciba en esa dirección sobre la plataforma de compraventa de moda, entregas, devoluciones, cupones y verificación de cuentas. En lugar de hacer clic en el enlace del mensaje, es más seguro comprobarlo escribiendo manualmente en el navegador la dirección del sitio correspondiente a la cuenta. Aunque no se haya confirmado una filtración de contraseñas en este registro, si las contraseñas antiguas que utilizaba durante ese mismo periodo son débiles o se reutilizan, es aconsejable actualizar las de las cuentas importantes.

Revise los inicios de sesión desconocidos, las reglas de reenvío y las direcciones de recuperación de su cuenta de correo electrónico. Si ha utilizado el mismo nombre de usuario en otras plataformas de compraventa, cuentas de redes sociales o foros, revise la configuración de privacidad y seguridad de esas cuentas. Active la autenticación de dos factores en los servicios que ofrezcan esta protección. Para reducir el uso indebido de la información de ubicación, no comparta detalles innecesarios sobre su ciudad, barrio o zona de entrega en perfiles públicos.

El incidente de Elanic demuestra que los entornos de pruebas y los que contienen datos antiguos deben protegerse con el mismo cuidado que los datos de producción. Las organizaciones no deberían conservar datos reales de usuarios en servidores de pruebas y, si fuera necesario hacerlo, deberían aplicar técnicas de enmascaramiento y restricciones de acceso. Que los datos antiguos estén separados del sistema actual no significa que el riesgo para el usuario haya desaparecido. Las direcciones de correo electrónico, los nombres de usuario y la información de ubicación pueden permanecer sin cambios durante mucho tiempo y utilizarse en mensajes dirigidos incluso años después.

Para los usuarios, la solución a largo plazo consiste en separar las direcciones de correo electrónico según su finalidad, utilizar nombres de usuario únicos en las cuentas de compras y plataformas de compraventa, y reducir la información innecesaria de los perfiles. Los equipos de las empresas, por su parte, deberían reducir el uso de correos de trabajo por parte de los empleados en cuentas personales de plataformas de compraventa y evaluar los indicios de filtración de direcciones de correo junto con las medidas de concienciación sobre el phishing y las políticas de autenticación multifactor. Este enfoque reduce el impacto de la ingeniería social incluso en filtraciones que no contienen contraseñas.

Que su dirección de correo electrónico aparezca en este registro no significa que se hayan filtrado su contraseña o su tarjeta de pago. Sin embargo, indica que su dirección de correo electrónico, su nombre de usuario y su contexto de ubicación pueden haber formado parte de un conjunto de datos. Por ello, debe extremar la cautela ante las alertas falsas sobre compras, entregas, devoluciones o cuentas que reciba en su bandeja de entrada. Si ya no utiliza su antigua cuenta de Elanic, valore las opciones para cerrarla o restringir el acceso.

Lo adecuado es actuar sin exagerar el riesgo, pero tampoco restar importancia a los datos del perfil. Compruebe la seguridad de su correo electrónico, revise las cuentas que utilizan el mismo nombre de usuario, active la autenticación de dos factores en las cuentas importantes y evite los enlaces sospechosos. La filtración de datos de Elanic es un ejemplo de cómo los registros que no contienen contraseñas también pueden afectar a los usuarios mediante el fraude dirigido y la vinculación de perfiles.