FreshMenu Filtración de datos

Los tipos de datos verificados en este registro son información de dispositivos, direcciones de correo electrónico, nombres, números de teléfono, direcciones físicas e historiales de compras. La información de los dispositivos puede aportar indicios adicionales sobre la sesión del usuario o el contexto técnico. El correo electrónico y el teléfono pueden utilizarse para contactar directamente con el usuario. Por su parte, la dirección física de entrega y el historial de pedidos pueden aportar información sensible sobre dónde vive la persona o dónde pide comida, sus rutinas y sus preferencias de servicio.

Dado que el campo de contraseña no está verificado, los usuarios deben prestar atención principalmente al fraude mediante comunicaciones falsas relacionadas con las entregas, y no al riesgo de que se descubran sus contraseñas. Si un mensaje utiliza correctamente su nombre, número de teléfono, dirección o información sobre un pedido anterior, eso por sí solo no demuestra que sea fiable. Conviene revisar con cuidado los mensajes que incluyen enlaces con el pretexto de una cancelación de entrega, un pago adicional, un cupón promocional, una verificación de dirección o una devolución.

El número de clientes únicos verificados es de 110 355. La fecha registrada del incidente es el 1 de julio de 2016, y el incidente está asociado al dominio freshmenu.com. FreshMenu es un servicio de entrega de comida con sede en India; por tanto, los datos que antes figuraban en la base de datos, con «Gobierno» como sector y «Estados Unidos» como país, son incorrectos. El registro debe evaluarse en el contexto de la entrega de comida y los pedidos en línea.

En este registro, la contraseña, su valor hash, el número de tarjeta de pago, el código de seguridad de la tarjeta, la cuenta bancaria, el documento oficial de identificación y el contenido de mensajes privados no figuran entre los campos de datos verificados. Los usuarios no deben actuar como si se hubieran filtrado su tarjeta o su contraseña. Sin embargo, cuando la dirección de entrega, el teléfono y el historial de pedidos aparecen juntos, el riesgo de ingeniería social es real y permanente. La descripción del riesgo debe tener en cuenta esta limitación.

Las personas con mayor riesgo son los clientes que han pedido comida a través de FreshMenu y siguen utilizando el mismo número de teléfono o correo electrónico. Aunque la dirección de entrega haya cambiado, el correo electrónico y el teléfono pueden seguir activos durante mucho tiempo. Si se ha utilizado la misma combinación de nombre, teléfono y dirección en otros servicios de entrega de comida, compras o mensajería, los atacantes pueden preparar mensajes más convincentes.

Para los usuarios con un historial de pedidos, el riesgo es más personalizado. Los mensajes falsos sobre descuentos, restaurantes favoritos, antiguas direcciones de entrega, errores de pago o campañas de membresía pueden parecer auténticos. Las personas que reciben entregas en su domicilio o lugar de trabajo también deben tener cuidado, ya que la información de la dirección puede utilizarse indebidamente no solo en línea, sino también mediante llamadas telefónicas o con el pretexto de una entrega física.

Si tiene una cuenta de FreshMenu, revise la seguridad de la cuenta y la información de contacto registrada. Dado que la contraseña no se verificó en este registro, no es necesario cambiar de inmediato las contraseñas de todas las cuentas; sin embargo, si la misma dirección de correo electrónico ha aparecido en otras filtraciones de contraseñas, debe establecer una contraseña única para las cuentas correspondientes. Active la autenticación de dos factores en su cuenta de correo electrónico y preste atención a las notificaciones de seguridad.

Antes de hacer clic en un enlace de un mensaje sobre entrega de comida, cupones, reembolsos, verificación de dirección o cancelación de pedidos, compruebe la información en la aplicación o el dominio oficiales. Que quien le llama conozca su nombre o dirección no demuestra que sea fiable. Si le solicitan un pago adicional, un código de un solo uso, datos de su tarjeta o información de su cuenta, no atienda la solicitud y verifíquela a través del canal oficial de atención al cliente.

El incidente de FreshMenu pone de relieve la importancia de reducir los datos personales innecesarios en las cuentas de servicios de entrega de comida y otros servicios de uso cotidiano. Los usuarios deben cerrar las cuentas de entrega que ya no utilicen, mantener actualizados la dirección y el teléfono registrados y utilizar contraseñas seguras y distintas en los servicios de pedidos. Dado que las direcciones de entrega y los números de teléfono pueden permanecer sin cambios durante largos periodos, las filtraciones antiguas pueden utilizarse para elaborar mensajes dirigidos incluso años después.

En cuanto a los proveedores de servicios, los datos de los clientes solo deben conservarse durante el tiempo necesario para completar el pedido, y campos como el historial de pedidos y la dirección de entrega deben protegerse mediante controles de acceso estrictos. Informar a los clientes de forma clara y oportuna cuando se descubre un incidente forma parte de la cultura de seguridad. Aunque no haya contraseñas ni datos de tarjetas, la dirección, el número de teléfono y el historial de pedidos afectan directamente a la privacidad de los clientes.

Si su dirección de correo electrónico aparece en este registro, revise la información de contacto que utiliza en FreshMenu o en cuentas de servicios similares de entrega de comida. Verifique los pedidos inesperados, reembolsos, cupones o mensajes de verificación de dirección a través de los canales oficiales, no mediante el enlace del mensaje. Si el mismo correo electrónico aparece en filtraciones que incluyen contraseñas, cambie las contraseñas de esas cuentas y active la autenticación de dos factores.

En la filtración de datos de FreshMenu, los campos verificados son información de dispositivos, correo electrónico, nombre, teléfono, dirección de entrega e historial de pedidos. La contraseña y la tarjeta de pago no están verificadas; sin embargo, la información sobre las entregas y los pedidos aporta material suficiente para la ingeniería social. Lo más adecuado es desconfiar de los mensajes falsos sobre entregas o cupones, verificar la información a través de los canales oficiales, reducir el número de cuentas antiguas de servicios de entrega y tener en cuenta que la misma dirección de correo electrónico podría combinarse con datos de otras filtraciones.