Filtración de datos de Exactis

Los registros de Exactis incluyen campos que permiten identificar directamente a una persona, como direcciones de correo electrónico, nombres completos, números de teléfono, direcciones físicas, direcciones IP y fechas de nacimiento. También se enumeran datos de perfil, como información sobre la situación crediticia, nivel educativo, origen étnico, situación familiar, intereses de inversión financiera, género, situación de propiedad de la vivienda, nivel de ingresos, estado civil, rango de patrimonio neto, ocupación, intereses personales, religión e idiomas hablados. Esta combinación podría permitir a los atacantes elaborar fraudes personalizados, mensajes dirigidos, falsas llamadas de atención al cliente o engaños de suplantación de identidad sin necesitar una sola contraseña.

El aspecto más crítico de esta filtración es que combina datos que, por separado, pueden parecer limitados. Una dirección de correo electrónico, un número de teléfono y una dirección física facilitan el contacto con una persona; la información sobre ingresos, hogar e intereses indica qué promesas o tácticas de presión podrían resultar más persuasivas. Por ello, la exposición de datos de Exactis aumenta más los riesgos de ingeniería social, uso abusivo de publicidad dirigida, fraude y discriminación basada en perfiles que el riesgo de toma de control de cuentas.

El alcance verificado debe considerarse de 131 577 763 cuentas únicas. Esta cifra se mantiene separada de las afirmaciones sobre un conjunto mayor de datos sin procesar y es el valor que se utiliza en la pantalla de consulta del usuario. La fecha de la filtración se establece en el 01/06/2018, y las fechas de incorporación y última modificación, en el 25/07/2018. El dominio de Exactis se conserva como exactis.com, el país de la empresa es Estados Unidos y su sector se clasifica como intermediación de datos y datos de marketing.

En el caso de Exactis, las contraseñas, las tarjetas de pago, las cuentas bancarias y los números de seguridad social no figuran entre las categorías de datos verificadas. Sin embargo, esto no significa que el riesgo sea bajo. Al combinar campos de perfil como la situación crediticia, los ingresos, la dirección, la familia y las creencias, una persona puede quedar más expuesta a intentos de adivinar las respuestas a preguntas de seguridad, fraudes dirigidos y comunicaciones falsas que aparentan proceder de instituciones. Por tanto, debido al nivel de riesgo, al número de registros y al grado de detalle de los perfiles, se ha mantenido la clasificación de Crítico.

Las personas incluidas en perfiles de consumidores o listas de marketing de Estados Unidos son el grupo con mayor probabilidad de verse afectado por este incidente. Aunque una persona nunca haya utilizado Exactis, es posible que su nombre, dirección de correo electrónico o dirección física se hayan recopilado de listas de terceros debido al modelo de intermediación de datos. Por tanto, el riesgo no depende de tener una cuenta de usuario real en el sentido tradicional.

Los usuarios que interactúan con frecuencia con campañas de ventas, bienes raíces, finanzas, salud, educación o donaciones pueden convertirse en objetivos más visibles. Del mismo modo, los datos antiguos del perfil de quienes han utilizado durante mucho tiempo el mismo número de teléfono y la misma dirección de correo electrónico pueden seguir empleándose en intentos de fraude. Datos como el estado civil, la ocupación, los ingresos y los intereses pueden ayudar a un atacante a hacer que un mensaje parezca personal y convincente; por ello, es especialmente importante extremar la cautela ante solicitudes recibidas por llamadas telefónicas, mensajes de texto y correos electrónicos.

Dado que el registro de Exactis no incluye ninguna categoría de datos con contraseñas verificadas, la primera medida no debe limitarse a cambiar la contraseña. Los usuarios deben, ante todo, examinar con mayor rigor las solicitudes inesperadas que reciben por correo electrónico, teléfono y correo postal. Antes de hacer clic en cualquier enlace de un mensaje que utilice como pretexto asuntos financieros, envíos, instituciones gubernamentales, seguros, centros educativos, campañas benéficas o renovaciones de suscripciones, es necesario verificarlo a través del canal de comunicación oficial de la entidad.

Se debe utilizar una contraseña segura y única para la cuenta de correo electrónico y activar la autenticación multifactor siempre que sea posible. En la cuenta del operador de telefonía, se debe configurar un PIN o una contraseña de seguridad adicional para los cambios de SIM, la portabilidad del número y las gestiones con atención al cliente. Dado que los datos de Exactis incluyen direcciones y números de teléfono, no se debe compartir información directamente en respuesta a falsas entregas, avisos de deuda, ofertas de inversión o llamadas para realizar encuestas; los formularios que soliciten la fecha de nacimiento, los ingresos o información familiar deben evaluarse con cautela.

Cuando se produce una exposición de datos a través de este tipo de intermediarios, la estrategia a largo plazo debe centrarse en dificultar la reutilización del perfil personal, en lugar de limitarse a restablecer la seguridad de una sola cuenta. Los usuarios pueden optar por utilizar direcciones de correo electrónico distintas para finanzas, compras, redes sociales y boletines, en vez de emplear la misma en todos los servicios. Si un servicio solo se va a utilizar para una campaña o una prueba, usar una dirección diferente de la dirección principal permanente reduce el riesgo de que los datos se vinculen en el futuro.

Se deben revisar periódicamente los informes crediticios y las transacciones financieras, y activar los servicios que notifican la apertura de nuevas cuentas o las consultas sospechosas. También se pueden consultar los formularios oficiales para solicitar la eliminación de datos de las listas de intermediarios; no obstante, debe tenerse en cuenta que estos procesos no siempre ofrecen resultados permanentes. La defensa más sólida consiste en evitar decisiones precipitadas ante comunicaciones inesperadas, no introducir información del perfil personal en formularios innecesarios y utilizar una verificación adicional para las cuentas de alto valor.

Los usuarios que aparezcan en los resultados de Exactis en LeakData deben interpretar este registro no como una filtración de contraseñas, sino como una exposición detallada de su perfil. La presencia conjunta de direcciones de correo electrónico, números de teléfono, direcciones físicas y campos demográficos puede facilitar intentos de suplantación de identidad mediante mensajes convincentes, llamadas personalizadas y conjeturas sobre las respuestas a preguntas de seguridad. Por ello, cuando aparezca una advertencia, se deben revisar todas las cuentas importantes que utilicen el mismo correo electrónico y número de teléfono, en lugar de comprobar únicamente el sitio correspondiente.

Tras la consulta, las medidas más adecuadas son reforzar la seguridad de la cuenta de correo electrónico, activar la autenticación multifactor, añadir un código de seguridad adicional a la cuenta del operador de telefonía, vigilar las transacciones financieras y evitar conexiones inesperadas. También se deben examinar las cartas con apariencia oficial enviadas a la dirección física, las solicitudes de códigos de verificación por teléfono y las encuestas que pidan datos personales. Un registro de Exactis debe considerarse una filtración de alto impacto: indica que los canales de contacto digitales y físicos de una persona pueden convertirse en objetivos, aunque no se haya filtrado información de autenticación.