Filtración de datos de Eye4Fraud de 2023

El conjunto de datos verificado contenía direcciones de correo electrónico, direcciones IP, nombres, datos parciales de tarjetas de crédito, contraseñas, números de teléfono y direcciones físicas. Las 16 000 591 direcciones de correo electrónico únicas son direcciones sin duplicados procedentes de 147 tablas que contienen muchas más filas; esta cifra no demuestra que hubiera el mismo número de personas únicas ni que todos los tipos de datos estuvieran presentes para cada persona. El conjunto de datos abarcaba dos grupos principales: usuarios directos del servicio Eye4Fraud y personas que hicieron pedidos en otros comercios electrónicos que utilizaban Eye4Fraud. Los registros de cuentas directas incluían nombres y hashes de contraseñas bcrypt, mientras que las tablas de pedidos contenían nombres, números de teléfono, direcciones físicas e información parcial de tarjetas. Los datos parciales de tarjetas se refieren al tipo de tarjeta y a sus últimos cuatro dígitos; no está confirmado que los datos incluyeran números completos de tarjetas ni códigos de seguridad.

Eye4Fraud confirmó oficialmente que un archivo de copia de seguridad relacionado con determinados clientes y que contenía información limitada fue objeto de acceso no autorizado en enero de 2023. La empresa afirmó que contrató a especialistas en ciberseguridad y asesores externos, notificó a las autoridades policiales y colaboró con la investigación. En febrero de 2023, se pusieron a la venta en un foro delictivo aproximadamente 65 GB de datos que supuestamente procedían de Eye4Fraud. El material publicado abarcaba decenas de millones de filas distribuidas en 147 tablas, y la verificación identificó 16 000 591 direcciones de correo electrónico únicas. Los hashes de contraseñas Bcrypt estaban asociados únicamente a usuarios directos del servicio; las pruebas no muestran que se recopilaran contraseñas de las cuentas de comercio electrónico de los compradores. Como no se divulgó el método técnico de acceso, no debe presentarse como causa establecida un fallo de software, el phishing o el acceso por parte de alguien de la propia organización.

Para los titulares de cuentas directas de Eye4Fraud, el principal riesgo es que una contraseña débil o reutilizada en otros servicios pueda averiguarse a partir de su hash bcrypt. Las personas que hicieron pedidos en comercios que utilizaban Eye4Fraud pueden aparecer en los registros aunque nunca crearan una cuenta de Eye4Fraud, porque los datos de evaluación de las transacciones pasaban por el servicio. La combinación del nombre, el número de teléfono, la dirección física, el correo electrónico, la dirección IP y los últimos cuatro dígitos de una tarjeta puede facilitar estafas convincentes relacionadas con entregas, cancelaciones de pedidos, reembolsos, verificaciones de pagos o llamadas falsas del banco. Los últimos cuatro dígitos por sí solos no bastan para realizar un pago con tarjeta, pero el contexto real de una transacción puede reforzar la ingeniería social. Una coincidencia de correo electrónico no demuestra que se expusiera un número completo de tarjeta, que se recuperara una contraseña ni que todos los tipos de datos enumerados pertenecieran a la misma persona.

Si tenía una cuenta de Eye4Fraud, sustituya su contraseña por una larga y única, y actualice todas las demás cuentas que utilicen la misma contraseña o una similar. Dé prioridad al buzón de correo principal, los paneles de administración de comercios, los servicios de pago y las cuentas financieras. Elimine todas las contraseñas reutilizadas y active la autenticación multifactor; añadir un dígito a una contraseña antigua no la diferencia lo suficiente. Revise las sesiones activas del correo, las direcciones de recuperación, las reglas de reenvío y los dispositivos que no reconozca. Si compró en un comercio que utilizaba Eye4Fraud, revise los movimientos de la tarjeta y las alertas de transacciones, y comunique al banco cualquier cargo que no reconozca a través de su canal habitual. No siga enlaces de mensajes sobre entregas, reembolsos, pedidos o verificaciones de tarjetas; abra directamente la aplicación del comercio o del banco. Aunque quien llame conozca los últimos cuatro dígitos, nunca revele un código de un solo uso, el número completo de la tarjeta ni su código de seguridad.

Utilice un gestor de contraseñas para crear una contraseña aleatoria y única para cada cuenta, de modo que recuperar una contraseña a partir de su hash no ponga en riesgo otros servicios. Dé preferencia a las claves de acceso o a la autenticación multifactor resistente al phishing para el correo electrónico, las finanzas y la administración de comercios electrónicos. Active las alertas bancarias y de tarjetas, y considere utilizar tarjetas virtuales o con restricciones para las compras en línea, cuando estén disponibles. Las empresas de comercio electrónico deben reducir al mínimo los datos que envían a los proveedores de prevención del fraude, aplicar límites de conservación y evitar que las copias de seguridad estén dentro del mismo perímetro de acceso que los sistemas de producción. La administración con privilegios mínimos, las copias de seguridad cifradas, la supervisión de los registros de acceso y los planes ensayados de notificación de incidentes reducen el impacto del acceso no autorizado. No considere que conocer detalles auténticos de un pedido demuestra que un mensaje o una llamada sean legítimos.

Utilice el campo de búsqueda seguro de esta página para comprobar todas las direcciones de correo electrónico actuales y antiguas que puedan haber figurado en una cuenta de Eye4Fraud o en un pedido evaluado por el servicio. Una coincidencia significa que la dirección está entre las 16 000 591 direcciones de correo electrónico únicas verificadas; no identifica la tabla de origen, no demuestra que esa fila contuviera un hash de contraseña o datos parciales de tarjeta, ni indica que se filtrara la información completa de la tarjeta. Si obtiene un resultado, considere si era usuario directo del servicio o en qué comercios compró y, en función de ello, dé prioridad a las comprobaciones de contraseñas, correo electrónico y pagos. Deje de reutilizar contraseñas antiguas, revise las sesiones de las cuentas y active las alertas de tarjetas. Nunca introduzca en el campo de búsqueda una contraseña, un número completo de tarjeta, un código de seguridad, un código de un solo uso ni una dirección física. No obtener resultados no supone una garantía absoluta: una dirección escrita de otra forma, un pedido no incluido en este conjunto de datos u otra filtración podrían seguir afectándole. Acceda directamente al dominio conocido del comercio o de la entidad financiera en lugar de utilizar enlaces de mensajes sospechosos.