Filtración de datos de Fashion Nexus

Entre los tipos de datos verificados en este registro figuran direcciones de correo electrónico, nombres completos, números de teléfono, direcciones físicas, historiales de compras, fechas de nacimiento, información de género, direcciones IP, información user-agent del navegador y datos de contraseñas. Esta combinación plantea riesgos que van más allá del envío de mensajes genéricos de phishing por parte de los atacantes. Si una persona compró en una tienda de moda durante determinados períodos, utilizó una dirección de entrega concreta o facilitó ciertos datos de contacto, esa información podría utilizarse indebidamente de forma convincente en situaciones como devoluciones falsas, actualizaciones del estado de las entregas, promociones, gastos de envío, verificación de cuentas o cancelaciones de pedidos.

Que los datos de contraseñas estén en forma de hash no significa que la contraseña en texto claro sea visible de inmediato para cualquiera; sin embargo, MD5 y SHA-1 se consideran débiles según los criterios de seguridad actuales. Los valores MD5 sin sal son especialmente arriesgados porque pueden compararse con relativa rapidez con listas de contraseñas preparadas con anterioridad. Añadir sal a los valores MD5 y SHA-1 dificulta los ataques, pero el riesgo persiste si las contraseñas son cortas, se reutilizan o se basan en palabras del diccionario. Por tanto, si usted ha utilizado en otros sitios la contraseña de Fashion Nexus o de las tiendas asociadas, debe cambiarla en todas las cuentas en las que la use.

El número de cuentas únicas verificadas corresponde a 1 279 263 direcciones de correo electrónico. La fecha registrada del incidente es el 9 de julio de 2018, y su alcance incluye varios sitios de comercio electrónico desarrollados por White Room Solutions y vinculados al grupo minorista conocido como Fashion Nexus. En este contexto, Jaded London y AX Paris figuran entre las marcas citadas como ejemplo. Por tanto, es posible que usted haya creado una cuenta, realizado un pedido o facilitado información de entrega en tiendas de moda afiliadas, aunque no recuerde específicamente el nombre Fashion Nexus.

Los campos verificados en este registro se limitan a los datos personales y de cuenta mencionados anteriormente. El número completo de la tarjeta de pago, el código de seguridad de la tarjeta, la cuenta bancaria, el documento oficial de identidad y el contenido de mensajes privados no figuran entre los campos de datos verificados en este registro. Sin embargo, el historial de compras y la información de direcciones, aunque no sean datos de tarjetas de pago, pueden revelar el comportamiento real de compra del usuario, su punto de entrega y sus canales de comunicación. Por tanto, el alcance debe evaluarse principalmente en términos de correlación de identidades, seguridad de la cuenta y riesgo de ingeniería social dirigida, más que de datos de tarjetas de pago.

Las personas con mayor riesgo son los clientes que utilizan el mismo correo electrónico y la misma contraseña en tiendas vinculadas a la red de Fashion Nexus. Si esa contraseña también se utiliza en una cuenta de correo electrónico, redes sociales, compras, servicios de envío, pagos no bancarios o trabajo, los atacantes podrían intentar acceder a otros servicios mediante listas de contraseñas. Deben extremar la precaución, en particular, los usuarios que llevan años sin cambiar sus contraseñas antiguas, utilizan una sola contraseña en varios sitios y no tienen activada la autenticación de dos factores en su cuenta de correo electrónico.

En el caso de los clientes cuyos datos incluyen dirección y teléfono, el riesgo no se limita a los intentos de acceso a cuentas en línea. Los atacantes pueden hacerse pasar por una empresa de envíos, el servicio de atención al cliente de una tienda, un departamento de devoluciones o un equipo de campañas comerciales, y preparar mensajes que encajen con la información de las compras anteriores de la persona. Otros datos, como la fecha de nacimiento y el género, también pueden facilitar que se adivinen las respuestas a las preguntas de autenticación o que se generen mensajes aparentemente personalizados. Si usted utiliza los mismos datos de contacto en varios sitios de moda, debe realizar las comprobaciones necesarias, aunque no recuerde con claridad a través de qué marca le afectó este incidente.

El primer paso es cambiar de inmediato la contraseña utilizada en las tiendas que puedan estar vinculadas a la red de Fashion Nexus. Si ha utilizado la misma contraseña en otra cuenta, también debe sustituirla allí por una contraseña única y robusta. Un gestor de contraseñas facilita la creación de contraseñas distintas y largas para cada sitio. La protección de la cuenta de correo electrónico debe ser prioritaria, ya que los enlaces para restablecer las contraseñas de las cuentas de compras suelen llegar por correo electrónico. Si la autenticación de dos factores no está activada en la cuenta de correo electrónico, debe activarse de inmediato.

El segundo paso es actuar con cautela ante los mensajes sobre pedidos antiguos, entregas y devoluciones. Si le piden que haga clic en un enlace, abra un archivo adjunto, vuelva a realizar un pago, confirme una dirección o introduzca datos de identidad, compruebe la autenticidad del mensaje directamente a través del dominio oficial de la tienda correspondiente. Aunque quienes le llamen por teléfono conozcan los detalles de pedidos anteriores, eso por sí solo no demuestra que sean fiables. Las solicitudes urgentes que se presenten con el pretexto de envíos, devoluciones o atención al cliente deben verificarse con calma.

Este incidente demuestra que las cuentas antiguas de comercio electrónico pueden seguir planteando riesgos durante mucho tiempo. Los usuarios deben cerrar periódicamente las cuentas de compras que ya no utilicen, reducir la información de dirección y teléfono almacenada y usar contraseñas distintas en cada tienda. Especialmente en las cuentas creadas hace años, puede haber contraseñas cortas o reutilizadas, o direcciones de correo electrónico a las que ya no se tenga acceso. Si estas cuentas quedan olvidadas, pueden surgir riesgos que, tras una filtración, se detecten con retraso.

En el ámbito empresarial, las compañías minoristas deben actualizar sus métodos de almacenamiento de contraseñas con algoritmos actuales y robustos, evitar conservar datos personales innecesarios, poder supervisar los registros de clientes diferenciándolos por proveedor de servicios y mantener una comunicación transparente tras los incidentes. Métodos antiguos como MD5 y SHA-1 no ofrecen protección suficiente, aunque los datos de las contraseñas estén en forma de hash. Si los datos de clientes circulan entre varias marcas y proveedores de servicios técnicos, deben gestionarse con claridad los límites de responsabilidad y los ciclos de vida de los registros.

La dirección de correo electrónico que figura en este registro podría corresponder a una cuenta de cliente utilizada en Fashion Nexus o en una de sus tiendas de moda afiliadas. Si encuentra una coincidencia, cambie la contraseña antigua, actualice las demás cuentas en las que use esa misma contraseña y revise el historial de inicios de sesión de su cuenta de correo electrónico. Si detecta algún inicio de sesión sospechoso, una notificación inesperada de restablecimiento de contraseña, un pedido que no reconoce o un cambio en la entrega, póngase en contacto con los servicios correspondientes a través de sus canales de soporte.

La filtración de datos de Fashion Nexus no debe considerarse simplemente un problema de un antiguo sitio de compras. Cuando se filtran a la vez datos de correo electrónico, teléfono, dirección, historial de compras y contraseñas, el riesgo puede reaparecer años después en situaciones de phishing, pruebas de acceso a cuentas y correlación de identidades. Los usuarios deben adoptar como hábitos permanentes de seguridad el uso de contraseñas únicas para cada cuenta y de una autenticación de dos factores robusta, la comprobación cuidadosa de los enlaces y la reducción del número de cuentas antiguas innecesarias.