Experian (2015) Presunta exposición de datos

Las categorías de datos de este registro son información sobre la situación crediticia, fechas de nacimiento, direcciones de correo electrónico, información sobre el origen étnico, estructura familiar, género, condición de propietario de vivienda, nivel de ingresos, direcciones IP, nombres, números de teléfono, direcciones físicas y hábitos de compra. La combinación de estos campos no solo genera riesgos asociados a las comunicaciones, sino que también permite elaborar un perfil detallado del consumidor. El nombre, la dirección, el teléfono y el correo electrónico permiten identificar a una persona de forma básica y dirigirle comunicaciones. Por su parte, la situación crediticia, el nivel de ingresos, la propiedad de la vivienda y los hábitos de compra pueden hacer más persuasivos los mensajes de ingeniería social.

Los datos demográficos, como el origen étnico, la estructura familiar y el género, también son importantes desde el punto de vista de la privacidad. Esta información puede utilizarse indebidamente con el pretexto de ofertas financieras, aprobaciones de crédito, cobros de deudas falsos, solicitudes fraudulentas a operadores o verificaciones de identidad. Una dirección IP, en cambio, no constituye una prueba concluyente de ubicación, aunque puede aportar indicios sobre el contexto de uso de una cuenta o una zona aproximada. Por tanto, el registro de Experian (2015) debe considerarse más como una combinación de datos de identidad, crédito, contacto y perfil de consumidor que como un caso de apropiación de cuentas centrado en contraseñas.

El número de cuentas utilizado en este registro es 7 196 890, y la fecha del incidente figura como el 16 de septiembre de 2015. Los comunicados oficiales de T-Mobile/Experian de 2015 indican que aproximadamente 15 millones de personas podrían haberse visto afectadas y que se trataba de quienes habían solicitado una evaluación crediticia para contratar un servicio de T-Mobile o financiar un dispositivo entre el 1 de septiembre de 2013 y el 16 de septiembre de 2015. Sin embargo, no se ha verificado por completo el origen exacto del conjunto de datos de alrededor de 7,2 millones de cuentas incluido en este registro de consulta. Por ello, la descripción no debe combinar ambas cifras en un único total de víctimas: los 15 millones reflejan el alcance oficial del incidente, mientras que los 7 196 890 deben mantenerse por separado como el número de cuentas que pueden consultarse en este registro.

Los comunicados oficiales indicaron que los sistemas y la red de T-Mobile no habían sufrido una intrusión directa y que el incidente estaba relacionado con datos de clientes almacenados por Experian. Además, los datos de cuentas financieras o tarjetas de pago no deben presentarse como una categoría verificada de este registro. Aunque en la información oficial sobre el incidente se explicó que los campos de números de identificación se almacenaban cifrados y que esa protección podría haberse debilitado, las categorías de datos enumeradas en este registro de consulta deben limitarse a los campos del perfil de consumidor mencionados anteriormente. Esta limitación es necesaria tanto para mostrar al usuario el riesgo real como para evitar presentar como hechos ciertos aspectos cuyo origen no se ha confirmado de forma definitiva.

El grupo de mayor riesgo está formado por las personas que solicitaron una evaluación crediticia para contratar un servicio de T-Mobile o financiar un dispositivo durante el período 2013-2015. La combinación de sus nombres, direcciones, fechas de nacimiento e información de evaluación crediticia puede hacer más convincentes los fraudes basados en falsas ofertas de crédito, supuestas llamadas de asistencia del operador, pretextos de verificación de identidad o cobros de deudas. Los campos de teléfono y correo electrónico facilitan que el atacante establezca contacto directo. La dirección física, por su parte, puede aumentar el riesgo de ingeniería social mediante documentos, correspondencia o entregas falsos.

Las personas cuyos perfiles incluyen campos como el nivel de ingresos, la condición de propietario de vivienda, la estructura familiar y los hábitos de compra pueden quedar expuestas a campañas más dirigidas. Estos datos pueden utilizarse para preparar ofertas financieras o mensajes de renovación de crédito que parezcan adecuados para la situación económica de la persona. La presencia de campos demográficos, sin embargo, aumenta el riesgo de discriminación, elaboración de perfiles no deseada y pérdida de privacidad. Por ello, el registro no debe considerarse únicamente un archivo antiguo de clientes, sino también un conjunto de datos sensibles que conlleva riesgos de robo de identidad y elaboración de perfiles de consumidores.

Si encuentra una coincidencia con este registro, revise primero sus informes crediticios y sus cuentas financieras para detectar solicitudes, aperturas de cuentas o cambios de dirección inusuales. Considere opciones de protección como el bloqueo de consultas crediticias o las alertas de fraude, si están disponibles en su país. Actúe con cautela ante mensajes o llamadas sobre aprobaciones de crédito, cuentas de operadores, financiación de dispositivos, reestructuración de deudas o solicitudes de verificación de identidad. Aunque el mensaje parezca auténtico, acceda por su cuenta al sitio oficial de la institución correspondiente para comprobarlo antes de hacer clic en cualquier enlace.

Las llamadas en las que se utilizan datos como la dirección, la fecha de nacimiento, el número de teléfono y el correo electrónico pueden parecer más convincentes. Por tanto, no confíe en quien llama aunque presente como prueba información personal que ya conoce. No tome decisiones apresuradas sobre asuntos como solicitudes de crédito, cambios de SIM, pagos de dispositivos a plazos o verificaciones de cuentas. Utilice una contraseña segura y autenticación multifactor para su cuenta de correo electrónico. Si conserva documentos de su antiguo operador o de solicitudes de crédito, revise dónde se ha compartido su información de identidad.

A largo plazo, es necesario supervisar periódicamente la información personal utilizada en solicitudes financieras y a operadores. Dado que las empresas de información crediticia, los operadores y los intermediarios de datos pueden conservar numerosos campos de verificación y perfil sobre un usuario, un solo incidente puede facilitar distintas cadenas de fraude. Los usuarios deben revisar sus informes crediticios a intervalos regulares, prestar atención a las notificaciones de cambios de dirección, evitar mantener números de teléfono antiguos como métodos de recuperación de cuentas y activar las notificaciones de transacciones en las cuentas importantes.

Desde la perspectiva de las instituciones, el incidente de Experian (2015) muestra que la seguridad de las empresas externas que procesan datos repercute directamente en la seguridad de los clientes. El operador no debe conservar los datos utilizados en procesos de crédito, financiación y verificación de identidad durante más tiempo del necesario. El cifrado, los controles de acceso, el registro detallado de actividad y las auditorías de proveedores deben aplicarse o realizarse de forma periódica. Para los usuarios, no compartir información personal en plataformas innecesarias, llevar un seguimiento de las instituciones que poseen datos de su perfil financiero y reconocer los contactos falsos relacionados con créditos u operadores contribuye a reducir el riesgo de forma duradera.

Los usuarios que encuentren coincidencias con el registro de Experian (2015) deben considerar este resultado no como una prueba concluyente de robo de identidad, sino como una señal de riesgo que requiere especial atención. El registro tiene el estado de no verificado. Aun así, cuando la dirección de correo electrónico, el nombre, la dirección, el teléfono o el contexto del perfil financiero coincidentes se combinan con información de otras fuentes, aumenta el riesgo de fraude. Por ello, la supervisión de los informes crediticios, las alertas de las cuentas financieras, la seguridad de la cuenta del operador y la protección del correo electrónico deben abordarse conjuntamente.

Este registro se ha preparado para explicar el incidente de Experian (2015) sin exageraciones ni confusión entre las cifras: mientras que el incidente oficial de T-Mobile/Experian corresponde a un alcance distinto que afecta a aproximadamente 15 millones de solicitantes, el número de cuentas que pueden consultarse en este registro es 7 196 890. El registro se mantiene como no verificado porque no pudo confirmarse el origen del conjunto de datos. Las medidas que debe tomar el usuario consisten en supervisar la actividad crediticia y de identidad, comprobar los mensajes sospechosos de operadores o entidades financieras, reforzar la seguridad de las cuentas de comunicación y mantener una vigilancia a largo plazo frente al uso indebido de los datos de su perfil personal.