Filtración de datos de ciudadanos franceses de 2024

Las categorías de datos verificadas son información de dispositivos, direcciones de correo electrónico, direcciones IP, nombres, datos parciales de tarjetas de crédito, números de teléfono y direcciones físicas. Como los conjuntos de datos que integraban la recopilación no contenían los mismos campos, una fila puede incluir una dirección de correo electrónico y un número de teléfono, mientras que otra puede contener solo una dirección o un detalle de un dispositivo. Enumerar las categorías no significa que cada coincidencia incluya todas ellas.

La presencia de datos parciales de tarjetas de pago no significa que hubiera un número completo de tarjeta o un código de seguridad. Aun así, elementos limitados, como el tipo de pago o un fragmento con los cuatro últimos dígitos, pueden hacer que los intentos de fraude dirigidos resulten más convincentes cuando se combinan con información de contacto. Los números de teléfono y las direcciones físicas pueden servir para elaborar mensajes falsos sobre entregas, avisos bancarios o servicios públicos. Los detalles de IP y dispositivos pueden aportar un contexto limitado sobre una sesión, una región o los hábitos de uso de un dispositivo.

Las contraseñas no figuran entre las categorías de datos verificadas de este registro. La ausencia de esta categoría no elimina el riesgo. Una dirección de correo electrónico, un nombre y un número de teléfono pueden combinarse con detalles de incidentes anteriores para facilitar estafas relacionadas con el restablecimiento de contraseñas, las solicitudes de asistencia o los códigos de autenticación. Una respuesta adecuada tiene en cuenta el riesgo de personalización que crea la combinación de campos, no solo un campo aislado.

Se informó de que la recopilación expuesta contenía más de 90 millones de filas, mientras que el registro canónico contiene 28 445 106 direcciones de correo electrónico únicas. Estas cifras miden cosas distintas. La primera describe el volumen bruto de filas; la segunda, el número de direcciones de correo electrónico tras eliminar los duplicados. Una misma persona o dirección puede aparecer en varios archivos o filas, por lo que el total bruto de filas no puede convertirse directamente en un número de personas.

La investigación identificó indicios de al menos diecisiete conjuntos de datos relacionados. Los nombres de los archivos y la diversidad de campos indican que el material procedía de distintos incidentes históricos o procesos de recopilación. No se estableció de forma independiente el origen de todos los archivos ni se confirmó la existencia de todos los incidentes sugeridos por sus nombres. Por tanto, sería inexacto atribuir la recopilación a un único atacante, una única organización afectada o un único método de acceso.

No se identificó al propietario del entorno expuesto. Esa incertidumbre impide concluir que deba cerrar cuentas de una marca concreta, considerar en riesgo a todos los clientes de una organización o atribuir los datos de una persona cuya dirección de correo electrónico figure en la recopilación a un origen específico. La fecha de esta página corresponde al periodo en que se encontró expuesta la recopilación; no establece cuándo se creó por primera vez cada archivo que la compone. Los campos disponibles varían según la persona y deben interpretarse con cautela.

Las personas cuya dirección de correo electrónico, número de teléfono y dirección física aparecen juntos se enfrentan a un mayor riesgo de intentos de phishing e ingeniería social que utilizan datos personales. Un atacante puede usar una dirección verosímil, el nombre de un servicio local o una preferencia de contacto para preparar mensajes sobre entregas retrasadas, devoluciones de impuestos, seguridad bancaria o renovaciones de cuentas. Que un mensaje incluya datos personales no demuestra que el remitente sea de confianza.

Las personas cuyos resultados incluyan información parcial de tarjetas de pago deben tener especial cuidado con las llamadas relacionadas con renovaciones de tarjetas, verificaciones de transacciones o reembolsos. Conocer los cuatro últimos dígitos de una tarjeta no demuestra que quien llama represente al banco. Cuando reciba una solicitud sensible en nombre de un banco o proveedor de pagos, utilice el número impreso en la tarjeta o la aplicación oficial del proveedor para establecer contacto por su cuenta.

Quienes utilizan los mismos datos de contacto en perfiles laborales, familiares o públicos también pueden ser objetivos más fáciles. La información de IP y dispositivos, por sí sola, no demuestra una ubicación ni que una cuenta haya sido comprometida, pero, combinada con otros datos públicos, puede ayudar a seleccionar objetivos y preparar engaños convincentes. Si utiliza una misma dirección de correo electrónico en muchos servicios en línea, examine con especial cuidado los avisos de seguridad inesperados.

En primer lugar, confirme que la contraseña de su cuenta de correo electrónico sea única y que la autenticación multifactor esté activada. Como este registro no incluye una categoría de contraseñas, una coincidencia por sí sola no debe considerarse prueba de que todas sus contraseñas hayan quedado expuestas. La cuenta de correo electrónico sigue siendo un medio de recuperación para otros servicios, por lo que su seguridad merece una revisión inmediata. Cierre las sesiones que no reconozca y compruebe que los números de teléfono de recuperación y las direcciones secundarias estén actualizados.

Revise con regularidad los movimientos de sus tarjetas de pago y las alertas bancarias. Contacte con la entidad emisora de la tarjeta a través de un canal oficial si detecta pequeños cargos que no reconoce, solicitudes de verificación sospechosas o mensajes de renovación de tarjetas. La decisión de sustituir una tarjeta debe basarse en indicios adicionales, como una transacción sospechosa o la recomendación de la entidad emisora. No facilite datos de la tarjeta, códigos de un solo uso ni documentos de identidad en respuesta a una llamada no solicitada.

Evalúe por separado el destino de los enlaces, el dominio del remitente y la acción solicitada en los correos electrónicos, mensajes de texto y llamadas. Un mensaje que utilice el nombre de un servicio de entregas, una oficina pública, un banco o un equipo de atención al cliente sigue requiriendo una confirmación independiente, aunque incluya datos personales. Eliminar de sus perfiles sociales y profesionales los datos innecesarios sobre su dirección, teléfono y fecha de nacimiento también puede dificultar futuros intentos de ataque dirigidos.

Utilizar una contraseña larga y única para cada servicio limita el impacto de las recopilaciones de datos procedentes de varias fuentes. Un gestor de contraseñas puede reducir la reutilización y ayudar a almacenar credenciales seguras. Cuando estén disponibles, dé preferencia a una aplicación de autenticación o una llave física para la autenticación multifactor. Los códigos por mensaje de texto añaden protección, pero no eliminan todos los riesgos de ingeniería social.

Revise periódicamente la configuración de recuperación de sus cuentas. Elimine las direcciones de reenvío, los números de teléfono, las aplicaciones conectadas o las sesiones que no reconozca. Compruebe también las reglas del correo electrónico; los atacantes pueden intentar añadir reglas de reenvío o archivado que oculten los avisos de seguridad. Estas comprobaciones son útiles para cualquier cuenta digital, no solo en relación con este incidente.

Reducir la divulgación de datos también ofrece una protección duradera. Deje en blanco los campos que no sean esenciales en los formularios de sorteos, créditos, descuentos, entregas e inscripciones, y utilice una dirección de contacto distinta cuando sea viable. Revise la configuración de privacidad que ofrecen los servicios y limite el intercambio de datos con terceros. Cuanto menos contexto revele su información personal en línea, más difícil será utilizar grandes recopilaciones para elaborar comunicaciones dirigidas que resulten convincentes.

Utilice la comprobación del registro de esta página para saber si su dirección de correo electrónico coincide con la recopilación de datos de ciudadanos franceses. Una coincidencia indica que la dirección está dentro del alcance verificado; no demuestra que todos los tipos de datos aparecieran en su fila, que una cuenta haya sido comprometida ni que una sola organización proporcionara los datos. Considere el resultado como una señal de riesgo personal y dé prioridad a las comprobaciones de seguridad de sus cuentas.

Si no hay coincidencia, puede que también convenga revisar direcciones de correo electrónico antiguas, alias y cuentas que ya no utiliza. La ausencia de coincidencia no garantiza que no haya datos personales en otros lugares de Internet. Mantener comprobaciones de seguridad periódicas, confirmar los contactos sospechosos a través de un canal independiente y revisar los movimientos de pago sigue siendo el enfoque más fiable.