Foodora Filtración de datos

Los tipos de datos confirmados en este registro son direcciones de correo electrónico, nombres, números de teléfono, direcciones físicas de entrega y contraseñas. Las contraseñas no están almacenadas en texto plano, sino como hashes bcrypt o MD5 con sal. Aunque bcrypt se considera un método sólido para generar hashes de contraseñas, los hashes basados en MD5 son más débiles. Si un usuario eligió una contraseña corta, predecible o que también utilizaba en otras cuentas, el formato hash no elimina por completo el riesgo.

La dirección de entrega y el número de teléfono son especialmente importantes en el contexto de la entrega de comida. Los atacantes pueden utilizar esta información para preparar notificaciones falsas de pedidos, cambios en las entregas, cupones, devoluciones, encuestas de satisfacción del cliente o mensajes de verificación de cuentas. Si el nombre, la dirección y el número de teléfono de la persona son correctos, el mensaje puede resultar más convincente. Por tanto, la filtración de datos de Foodora no solo supone un riesgo para la seguridad de las contraseñas, sino también un riesgo de ingeniería social basado en direcciones físicas y números de teléfono.

El número verificado de direcciones de correo electrónico únicas es de 582 578. La fecha del incidente figura como el 22 de abril de 2016, y el suceso está vinculado al servicio de entrega de comida Foodora. Según lo informado, el conjunto de datos abarca varios países. Los principales campos verificados son el nombre, el correo electrónico, el teléfono, la dirección de entrega y los hashes de contraseñas. La cantidad de registros debe evaluarse a partir de las cuentas de correo electrónico únicas; no debe suponerse que el número de registros sin procesar o de líneas de pedido coincida exactamente con el número de usuarios.

En este registro, el número de tarjeta de pago, el código de seguridad de la tarjeta, la cuenta bancaria, el documento de identidad oficial, la fecha de nacimiento y el contenido de mensajes privados no figuran entre los campos de datos verificados. En lugar de actuar como si se hubieran filtrado datos de tarjetas, los usuarios deben centrarse en los riesgos de las comunicaciones falsas, los intentos de acceso a cuentas y la reutilización de contraseñas, que los atacantes pueden explotar con ayuda de la información de la dirección de entrega y el teléfono. No deben añadirse al texto campos no verificados, pero tampoco debe subestimarse el impacto real de los campos filtrados.

Los clientes con mayor riesgo son quienes reutilizan la contraseña de su cuenta de Foodora en otras cuentas. Si se utiliza la misma contraseña para el correo electrónico, las compras, las redes sociales, los pedidos de comida o los servicios que no implican pagos, aumenta el riesgo de intentos de acceso a las cuentas. Las personas cuya dirección de entrega y número de teléfono están disponibles pueden ser objeto de engaños relacionados con entregas de paquetes o comida. Aunque no se recuerde el historial de pedidos antiguos, la misma información de contacto puede seguir siendo válida durante años.

Quienes hayan utilizado el servicio de Foodora en varios países o hayan hecho pedidos durante un viaje quizá no recuerden con claridad a qué país correspondía la cuenta afectada. En ese caso, es necesario comprobar en qué servicios de entrega se utilizaron el correo electrónico y el número de teléfono en el pasado. El riesgo puede reducirse si la dirección ha cambiado; sin embargo, si el correo electrónico y el teléfono siguen activos, los atacantes pueden reutilizar esta información en nuevas campañas de fraude.

Debe cambiar de inmediato la contraseña de su cuenta de Foodora y, si utiliza la misma contraseña en otras cuentas, sustituirla en todas ellas por contraseñas únicas. Debe proteger especialmente su cuenta de correo electrónico, porque los enlaces para restablecer las contraseñas de las cuentas de entrega de comida y compras suelen llegar a la bandeja de entrada. Si no tiene activada la autenticación de dos factores en su cuenta de correo electrónico, actívela. También debe cambiar las contraseñas similares a la antigua contraseña de Foodora.

Si recibe mensajes sobre entregas de comida, cupones, reembolsos, verificación de direcciones o cancelación de pedidos, compruebe la información a través de la aplicación o del dominio oficial antes de hacer clic en cualquier enlace. Que quien le llame conozca su nombre, su dirección o los detalles de un pedido anterior no demuestra que sea de confianza. Las solicitudes de su contraseña, un código de un solo uso, un pago adicional o los datos de su tarjeta deben verificarse por un canal independiente. Céntrese en la seguridad de la cuenta y en las posibles comunicaciones falsas que plantean riesgos reales, sin alarmarse innecesariamente.

El incidente de Foodora demuestra la importancia de utilizar contraseñas únicas en las cuentas de entrega de comida y otros servicios cotidianos similares. Los usuarios deberían cerrar las cuentas de entrega que ya no utilizan, reducir la información guardada de direcciones y teléfonos, y usar una contraseña diferente para cada servicio. Aunque las antiguas direcciones de entrega dejen de estar vigentes tras una mudanza o un cambio de empleo, los atacantes pueden seguir utilizando el correo electrónico y el número de teléfono durante mucho tiempo.

Los proveedores de servicios deben conservar los datos de sus clientes solo durante el tiempo necesario para completar el pedido, proteger el almacenamiento de contraseñas con algoritmos sólidos y supervisar estrictamente los permisos de acceso en los sistemas que operan en varios países. Deben dar preferencia a métodos sólidos como Bcrypt y no utilizar hashes antiguos basados en MD5. Cuando la dirección de entrega, el número de teléfono y el nombre aparecen juntos, su impacto en la seguridad del usuario puede ser considerable, aunque no sean datos de pago.

Si su dirección de correo electrónico aparece en este registro, revise la contraseña que utiliza en Foodora o en las cuentas de entrega de comida relacionadas. Sustitúyala por una contraseña única en cada cuenta en la que utilice la misma contraseña o una similar. Proteja su cuenta de correo electrónico con autenticación de dos factores y revise la información de teléfono y dirección guardada en las aplicaciones de entrega de comida. Verifique directamente a través de los canales oficiales cualquier mensaje inesperado sobre pedidos, cupones, reembolsos o verificación de direcciones.

En la filtración de datos de Foodora no se verificó la presencia de información de tarjetas de pago o cuentas bancarias; sin embargo, la combinación de nombre, correo electrónico, teléfono, dirección de entrega y hashes de contraseñas supone un riesgo grave. Lo más adecuado es dejar de reutilizar contraseñas, reforzar la seguridad de la cuenta de correo electrónico, mantener la cautela ante mensajes de phishing relacionados con entregas y reducir los datos personales innecesarios en antiguas cuentas de pedidos de comida. Estas medidas reducen tanto el impacto directo en la cuenta de Foodora como los riesgos para otras cuentas vinculadas al mismo historial de contraseñas.