Filtración de datos de HauteLook de 2018

Las categorías verificadas son fechas de nacimiento, direcciones de correo electrónico, géneros, ubicaciones geográficas, nombres y hashes de contraseñas. En conjunto, estos campos pueden facilitar la creación de mensajes de correo electrónico, mensajes de texto o solicitudes de asistencia que parezcan personalizados para un cliente. El contexto que aportan el nombre, la fecha de nacimiento y la ubicación puede hacer más convincentes los contactos fraudulentos sobre problemas de entrega, ofertas de descuento, renovación de membresías o verificación de pagos.

Las contraseñas figuraban como hashes bcrypt, no como texto sin cifrar legible. Esto no significa que fueran directamente visibles, pero las contraseñas débiles o reutilizadas pueden seguir generando riesgos con el tiempo. Una coincidencia que incluya un hash de contraseña no demuestra que se haya recuperado una contraseña actual. La decisión de seguridad adecuada depende de si se reutilizaron contraseñas y de la protección actual de las cuentas implicadas.

Las categorías verificadas no incluyen números de tarjetas de pago, números de teléfono ni direcciones físicas. Esto no significa que ningún otro registro del servicio se haya visto afectado; solo delimita el alcance de este incidente verificado. Tampoco debe suponerse que todos los tipos de datos aparecen en cada coincidencia. Las personas deben considerar una coincidencia como una señal de riesgo personal y no dar por ciertos los detalles no demostrados.

La fecha que figura en esta página es el 7 de agosto de 2018 y el número de registros del conjunto canónico es 28 510 459. Esa cifra representa el alcance verificado de direcciones de correo electrónico; no es el total de todos los clientes que el servicio ha tenido, de las cuentas activas ni de la base actual de usuarios. Como una misma dirección de correo electrónico puede aparecer en más de un registro, el total de registros no puede convertirse directamente en un número de personas distintas.

HauteLook se clasifica como un servicio de compras por internet centrado en la moda. Este incidente está asociado únicamente a ese servicio; otras marcas o sitios de compras que puedan pertenecer a un grupo empresarial relacionado no quedan incluidos automáticamente en su alcance. Que una persona aparezca en un registro de HauteLook no demuestra que tuviera una cuenta en otro comercio ni que otras cuentas se vieran afectadas por este incidente.

La información verificada no permite determinar el punto de inicio de la intrusión, la identidad de quien realizó el ataque, cuándo se copió cada archivo de datos ni qué clientes recibieron una notificación. La fecha identifica el período asociado al incidente; por sí sola, no indica cuándo aparecieron los datos por primera vez en internet ni cuándo se utilizó cada cuenta por última vez. Estas incertidumbres no restan importancia al incidente, pero exigen cautela ante afirmaciones técnicas que no pueden confirmarse.

Las personas que reutilizaron una contraseña de HauteLook en otra cuenta de compras, correo electrónico o redes sociales deben tener la máxima prioridad. La protección bcrypt no elimina el riesgo asociado a las contraseñas; las contraseñas cortas, predecibles o reutilizadas pueden probarse en otros sistemas. Quienes inicien sesión en muchos servicios con la misma dirección de correo electrónico deben revisar sus hábitos de uso de contraseñas, especialmente en las cuentas más antiguas.

Las personas cuya coincidencia incluya una fecha de nacimiento, un nombre y contexto geográfico deben estar atentas al fraude personalizado. Un atacante puede utilizar estos datos en mensajes sobre retrasos en las entregas, puntos de fidelidad, cupones, renovación de membresías o confirmación de pedidos. Que un mensaje contenga datos personales no demuestra que su remitente sea un comercio legítimo.

También conviene tener en cuenta las cuentas de compras antiguas que ya no se utilizan activamente. La dirección de correo electrónico registrada puede seguir siendo un medio de recuperación para servicios más recientes. Las personas que utilicen ese mismo buzón deben revisar con cuidado las sesiones desconocidas, las reglas de reenvío, las opciones de recuperación y los avisos inesperados de restablecimiento de contraseña.

En primer lugar, si utilizó una contraseña de HauteLook también en otros servicios, cambie las contraseñas de esos servicios por otras seguras y únicas. Si todavía puede acceder a la cuenta, cambie también su contraseña y active la autenticación multifactor cuando exista esa opción. Las cuentas de correo electrónico sirven como medios de recuperación para muchos servicios, por lo que debe dar prioridad a la revisión de la contraseña del buzón y de sus datos de recuperación.

Revise la actividad de las cuentas y la bandeja de entrada del correo electrónico para detectar sucesos inusuales. Cuando reciba un aviso de inicio de sesión desconocido, una oferta de cupones, una alerta de pedido o un mensaje de restablecimiento de contraseña, examine el dominio del remitente y la acción solicitada antes de abrir un enlace. Para confirmar una alerta, acceda directamente a la dirección oficial conocida del servicio en lugar de seguir la dirección incluida en el mensaje.

Utilice el canal de asistencia oficial del servicio correspondiente cuando detecte actividad sospechosa. Revoque el acceso si la configuración de la cuenta muestra un dispositivo, una sesión, una dirección de recuperación o una aplicación conectada que no reconoce. Los datos de tarjetas de pago no figuran entre las categorías verificadas; aun así, es prudente revisar las alertas bancarias y de tarjetas en busca de actividad inusual cuando una cuenta de compras por internet tiene un método de pago guardado.

Utilizar una contraseña larga y distinta para cada sitio de compras y servicio en línea es una de las medidas de protección más eficaces. Un gestor de contraseñas puede generar contraseñas aleatorias y reducir su reutilización. Cuando esté disponible la autenticación multifactor, es preferible utilizar una aplicación de autenticación o una llave de seguridad física; los códigos enviados por mensaje de texto añaden protección, pero no pueden impedir todos los intentos de fraude convincentes.

Limite la información que facilita en campos del perfil no esenciales, como la fecha de nacimiento, el género, la ubicación y las preferencias de contacto en las cuentas de compras. Revisar los datos visibles del perfil y las direcciones guardadas en cuentas antiguas deja menos información que pueda utilizarse para dirigir futuros ataques. Reducir el intercambio de datos con terceros en la configuración de privacidad del servicio también puede limitar la difusión innecesaria de información personal.

Revise periódicamente la seguridad de los mecanismos de recuperación de sus cuentas. Las direcciones de correo electrónico secundarias, los números de teléfono, los dispositivos conectados y las sesiones deben mantenerse actualizados. Mantenga activadas las alertas de inicio de sesión cuando sea posible y actúe con rapidez si aparece una sesión desconocida o un cambio de dirección que no reconoce. Estos hábitos protegen las cuentas de todos los clientes, no solo las de las personas con coincidencias en este incidente.

Utilice la comprobación de registros de esta página para saber si su dirección de correo electrónico tiene una coincidencia con el incidente de HauteLook. Una coincidencia indica que la dirección está dentro del alcance verificado; no demuestra que todos los tipos de datos aparecieran en su registro, que se haya recuperado una contraseña ni que una cuenta actual haya sido comprometida. Utilice el resultado como una señal de riesgo personal para dar prioridad a la revisión de las contraseñas reutilizadas y de la configuración de recuperación de cuentas.

Si no hay coincidencias, puede seguir siendo útil recordar direcciones de correo electrónico antiguas, registros con otras direcciones y cuentas de compras cerradas. La ausencia de coincidencias no garantiza que no exista información personal en otros lugares de internet. Las contraseñas únicas, la autenticación multifactor, la revisión periódica de las cuentas y la confirmación de mensajes sospechosos por una vía independiente siguen siendo la defensa más fiable.