Filtración de datos de Fanpass

Los tipos de datos enumerados en este registro son direcciones de correo electrónico, género, nombres, fechas de nacimiento parciales, contraseñas, números de teléfono, direcciones físicas, compras y perfiles en redes sociales. Cuando el correo electrónico, el nombre, el número de teléfono y la dirección aparecen juntos, resulta más fácil contactar directamente con el usuario y dar la impresión de ser un cliente auténtico. El historial de compras permite identificar el evento o la operación de compra de entradas con los que podrían estar relacionados los datos, lo que hace más convincentes los mensajes fraudulentos sobre reembolsos, transferencias de entradas, envíos o reventas. La información de los perfiles en redes sociales conlleva el riesgo de vincular los datos con la identidad del usuario como aficionado y con su presencia pública en internet. Los hashes de contraseñas no equivalen a contraseñas en texto sin formato; sin embargo, el riesgo es elevado para quienes usan la misma contraseña en otras cuentas. La información parcial sobre la fecha de nacimiento también puede aportar contexto útil para mensajes de recuperación de cuentas o de ingeniería social.

La cifra principal verificada es de 112 251 registros de clientes. Las categorías de datos se limitan a información de contacto, fecha de nacimiento parcial, perfil social, historial de compras y hashes de contraseñas con sal. El número completo de la tarjeta de pago, el código de seguridad de la tarjeta, la cuenta bancaria, el documento oficial de identidad, la fecha de nacimiento completa, el código de barras de la entrada y el contenido de mensajes privados no figuran entre los campos verificados de este registro. El historial de compras indica que podrían vincularse las operaciones anteriores de compra de entradas de un usuario; no significa que su tarjeta de pago haya quedado expuesta. Como Fanpass es un servicio de compraventa de entradas de fútbol, el riesgo se concentra más en las entradas falsificadas, los reembolsos fraudulentos, la toma de control de cuentas y la vinculación con perfiles en redes sociales. Deben respetarse estos límites y comunicarse claramente al usuario qué está verificado y qué no.

El principal grupo en riesgo son los clientes que compran o venden entradas de fútbol a través de Fanpass, o que crean cuentas con ese fin. Los usuarios cuyos números de teléfono y direcciones físicas están incluidos pueden recibir solicitudes fraudulentas relacionadas con entregas, transferencias de entradas o reembolsos. Quienes tienen un historial de compras pueden recibir mensajes personalizados basados en partidos, equipos o eventos que les interesaron anteriormente. Las personas que reutilizan la misma contraseña en cuentas de correo electrónico, redes sociales, venta de entradas, pagos o foros de aficionados corren un riesgo mayor. Los usuarios con perfiles en redes sociales pueden ser identificados con mayor facilidad a través de grupos de aficionados o perfiles públicos. Los partidos con gran demanda, las entradas para derbis o los eventos de última hora pueden ayudar a los atacantes a crear una sensación de urgencia. Las cuentas que compran entradas para pequeñas empresas o con fines corporativos también pueden quedar expuestas a mensajes fraudulentos sobre facturas y transferencias de entradas.

Si su dirección de correo electrónico aparece en este registro, deje de considerar segura la contraseña que utiliza en su cuenta de Fanpass. Establezca una contraseña única para cada cuenta de correo electrónico, redes sociales, venta de entradas, pagos y compras en la que use la misma contraseña o una similar. Active la autenticación multifactor en los servicios que la ofrezcan. Antes de hacer clic en enlaces de mensajes inesperados sobre transferencias de entradas, reembolsos, reventas, entregas, verificaciones de cuentas o cambios en eventos, acceda directamente a su cuenta desde una dirección web conocida. Aunque quien le llame conozca su nombre, dirección o una operación anterior de compra de entradas, no comparta información de tarjetas, datos bancarios, códigos de un solo uso ni contraseñas de cuentas. Verifique también las ofertas de entradas recibidas a través de redes sociales y compruebe la identidad del vendedor antes de realizar un pago.

Las cuentas de servicios de venta de entradas son susceptibles al fraude debido a la alta demanda y a la presión por actuar con urgencia. Los usuarios deben utilizar contraseñas únicas para cada cuenta de venta de entradas y de redes sociales, optar preferentemente por un gestor de contraseñas y cerrar las cuentas antiguas. La configuración de privacidad debe revisarse periódicamente en los servicios que almacenan historiales de compras y tienen conexiones con perfiles en redes sociales. No guardar números de teléfono ni direcciones físicas en cuentas innecesarias reduce el riesgo a largo plazo. Por parte de la plataforma, los hashes de contraseñas deben protegerse con métodos sólidos y actualizados, deben gestionarse los plazos de conservación de los registros de compras antiguos y los mensajes de transferencia de entradas y reembolso deben incluir pasos de verificación claros. La formación de los usuarios debe hacer especial hincapié en los casos de entradas falsas, reembolsos fraudulentos, transferencias de entradas fraudulentas y fraude en los pagos a través de redes sociales.

La consulta en LeakData indica si su dirección de correo electrónico aparece en la filtración de Fanpass. Un resultado positivo no indica que una tarjeta de pago, una cuenta bancaria o un documento oficial de identidad estén presentes entre las categorías de datos verificadas; el riesgo verificado implica el uso indebido del correo electrónico, el nombre, el teléfono, la dirección, la fecha de nacimiento parcial, el historial de compras, el perfil social y los hashes de contraseñas con sal. Entre las medidas que puede tomar están cambiar las contraseñas reutilizadas, dar prioridad a las cuentas de venta de entradas y de correo electrónico, verificar los mensajes sobre reembolsos y transferencias de entradas para detectar posibles fraudes, y reducir el riesgo de que los datos se vinculen con sus perfiles en redes sociales. Si el mismo correo electrónico aparece en otras filtraciones de servicios de venta de entradas, comercio electrónico o redes sociales, el riesgo aumenta; los atacantes pueden crear mensajes más convincentes al combinar los intereses del usuario como aficionado, su historial de compras y su información de contacto.