Filtración de datos de FlexBooker

Los tipos de datos verificados en este registro son direcciones de correo electrónico, nombres, números de teléfono, contraseñas e información parcial de tarjetas de crédito. El principal riesgo es la exposición masiva de información de contacto vinculada al contexto de las reservas. Los datos de correo electrónico y teléfono pueden utilizarse para enviar mensajes falsos sobre recordatorios de citas, cancelaciones, actualizaciones de pago, depósitos, cargos por servicios o verificación de registros de clientes. Los nombres hacen que estos mensajes resulten más convincentes.

Se informó de la exposición de hashes de contraseñas y datos parciales de tarjetas de crédito de un grupo más limitado de cuentas, no de todos los usuarios. Esta distinción es importante. Los datos parciales de una tarjeta no suelen incluir el número completo ni el código de seguridad; sin embargo, algunos de esos detalles pueden ayudar a un atacante a dar credibilidad a mensajes falsos de actualización de pagos. Los hashes de contraseñas también aumentan el riesgo de que alguien tome el control de una cuenta si la contraseña es débil o se reutiliza.

El número de cuentas únicas verificadas es de 3 756 794. La fecha registrada del incidente es el 23 de diciembre de 2021, y está vinculado a la plataforma de reservas en línea FlexBooker. Los campos de correo electrónico, nombre y teléfono constituyen el alcance principal. Los campos de hashes de contraseñas y datos parciales de tarjetas de crédito corresponden a un número limitado de cuentas. Según lo informado, el incidente se originó en una cuenta comprometida de un servicio en la nube; se trata de un problema de acceso ocurrido del lado del proveedor del servicio, no del usuario.

Este registro no incluye números completos de tarjetas de crédito, códigos de seguridad de tarjetas, cuentas bancarias, documentos oficiales de identidad, historiales médicos, direcciones físicas ni campos de datos verificados que contengan mensajes privados. Los usuarios deben evaluar el riesgo teniendo en cuenta estos límites. Los riesgos más realistas son los mensajes falsos sobre reservas o pagos, la ingeniería social mediante llamadas telefónicas, los intentos de acceso probando contraseñas y los intentos de fraude que aprovechan la información parcial de las tarjetas.

Las personas con mayor riesgo son quienes han concertado una cita o hecho una reserva a través de negocios que utilizan FlexBooker. Es posible que estos usuarios no reconozcan directamente el nombre de la plataforma, ya que pueden haber completado la reserva a través de un salón de belleza, un curso, un consultor, un proveedor de servicios o un negocio local. Quienes tengan expuestos sus datos de correo electrónico y teléfono pueden recibir mensajes falsos sobre cambios de citas, cancelaciones de servicios, pagos anticipados, renovaciones de suscripciones o actualizaciones del perfil de cliente.

Los hashes de contraseñas suponen un riesgo adicional para los usuarios del grupo limitado afectado. Si se reutiliza la misma contraseña en otras cuentas, los atacantes pueden probar esa combinación en distintos servicios. Las personas cuyos datos parciales de tarjeta se hayan visto comprometidos no deben alarmarse innecesariamente como si se hubiera filtrado toda la información de su tarjeta; sin embargo, deben mantener activadas las notificaciones bancarias y desconfiar de las solicitudes fraudulentas de verificación relacionadas con ella. También debe verificarse la identidad de quienes llamen y hablen como si conocieran información de citas anteriores.

Si ha creado una cuenta a través de FlexBooker o de un negocio que utiliza este sistema, cambie la contraseña de esa cuenta. Si utiliza la misma contraseña en otras cuentas, sustitúyala también por una contraseña única en cada una de ellas. Active la verificación en dos pasos en su cuenta de correo electrónico y mantenga activadas las notificaciones de seguridad. Ante mensajes inesperados sobre citas, pagos, depósitos o cancelaciones, utilice el canal oficial de comunicación del negocio en lugar de hacer clic en un enlace.

Los usuarios que crean que la información parcial de su tarjeta puede haberse visto afectada deben revisar los movimientos de la tarjeta, activar las notificaciones de su aplicación bancaria y avisar de inmediato al banco si detectan alguna transacción que no reconozcan. Como no se ha confirmado que el número completo de la tarjeta o su código de seguridad se hayan visto comprometidos, puede que no sea necesario cancelar la tarjeta automáticamente en todos los casos; no obstante, es esencial mantenerse alerta ante los mensajes fraudulentos de actualización de pagos. Que la persona que llama conozca su nombre o una reserva anterior no demuestra que sea de confianza.

El incidente de FlexBooker muestra que las plataformas de reservas y citas pueden almacenar grandes cantidades de datos de clientes en nombre de distintos negocios. A largo plazo, los usuarios deben utilizar contraseñas únicas para cada servicio de reservas, proteger adecuadamente su cuenta de correo electrónico y limitar la información de contacto que comparten con los servicios de citas. Deben cerrarse las cuentas que ya no se utilizan y comprobarse si las antiguas plataformas de reservas siguen conservando la información de teléfono y pago registrada en ellas.

Para los proveedores de servicios, la seguridad de las cuentas en la nube, la gestión de las claves de acceso, el principio de mínimo privilegio y la supervisión de actividades inusuales de descarga de datos son fundamentales. Aunque los sistemas de reservas puedan parecer un simple servicio de calendario, almacenan conjuntos de datos valiosos que aumentan el riesgo de fraude por incluir nombres de clientes, números de teléfono, direcciones de correo electrónico y contexto sobre los pagos. Por tanto, la minimización de datos, un control de acceso sólido y la notificación rápida a los clientes deben formar parte de una estrategia de seguridad permanente.

Si su dirección de correo electrónico aparece en este registro, considere si ha concertado alguna cita o hecho alguna reserva con un negocio que utilice FlexBooker. Cambie la contraseña que utilizaba en la cuenta correspondiente y actualice las demás cuentas en las que reutilice esa contraseña. En lugar de seguir enlaces en mensajes sobre cancelaciones de citas, actualizaciones de pago, cargos por servicios o verificación del perfil de cliente, utilice directamente los datos de contacto oficiales del negocio.

El principal riesgo de la filtración de datos de FlexBooker es la exposición masiva de direcciones de correo electrónico, nombres y números de teléfono; los hashes de contraseñas y los datos parciales de tarjetas solo corresponden a un grupo limitado de cuentas. Las medidas más adecuadas son dejar de reutilizar contraseñas, proteger las cuentas de correo electrónico con autenticación de dos factores, revisar los movimientos de las tarjetas y comprobar cuidadosamente los mensajes fraudulentos relacionados con reservas. Este enfoque se centra en los riesgos reales sin generar una alarma innecesaria como si se hubieran filtrado los datos completos de las tarjetas.