Filtración de datos de Lazada RedMart

Las categorías de datos confirmadas en la filtración de Lazada RedMart incluyen direcciones de correo electrónico, nombres y apellidos, números de teléfono, direcciones físicas, datos parciales de tarjetas de crédito y hashes de contraseñas. Este conjunto de datos, por sí solo, no implica acceso completo a los medios de pago; sin embargo, al combinar el nombre del cliente, su dirección de entrega, su teléfono y su correo electrónico, se pueden crear pedidos falsos, solicitudes de soporte falsas y mensajes sobre la seguridad de la cuenta muy convincentes. Dado que los datos parciales de tarjetas pueden incluir elementos como los primeros seis y los últimos cuatro dígitos, el nombre del titular, la fecha de vencimiento o campos de contacto para la facturación, los usuarios deben revisar sus estados de cuenta y notificaciones con más atención.

• Direcciones de correo electrónico: Pueden utilizarse para campañas de phishing que se hacen pasar por RedMart y Lazada, descuentos falsos, notificaciones de entrega falsas y mensajes de recuperación de cuentas.
• Nombre, teléfono y dirección: Aumentan la capacidad de dirigir ataques personalizados; un estafador puede intentar persuadir al usuario imitando el lenguaje de los pedidos y las entregas reales.
• Hashes de contraseñas: SHA-1 es un método antiguo que puede descifrarse rápidamente. El riesgo de toma de control de cuentas aumenta para quienes usan la misma contraseña en otras cuentas.
• Datos parciales de tarjetas de crédito: No equivalen a la información completa de la tarjeta; aun así, pueden utilizarse indebidamente en situaciones como una llamada bancaria falsa, el pretexto de renovar la tarjeta o una confirmación de pago falsa.
• Direcciones físicas: Al combinarse con la información de entrega y facturación, aumentan el riesgo de acoso dirigido al domicilio, mensajes personalizados y elusión de la verificación de identidad.

El registro verificado de la filtración recoge la fecha del 30 de julio de 2020 y un impacto de 1 107 789 cuentas/correos electrónicos. Los informes de la época indicaron que los datos de RedMart se habían puesto a la venta y que los registros llegaban hasta julio de 2020. La resolución oficial sobre protección de datos de Singapur señala que los datos se extrajeron el 6 de septiembre de 2020 y que se vieron afectadas 898 791 personas. Estas dos cifras corresponden a distintos niveles de medición: una es un indicador del índice basado en cuentas o correos electrónicos; la otra es el número de personas utilizado en la revisión oficial. Por tanto, el registro debe mantener el total de 1 107 789 entradas, y el número oficial de personas debe interpretarse como una nota independiente sobre el alcance dentro de la explicación.

El alcance se limita a los datos antiguos de clientes y proveedores de RedMart. No debe presentarse como una afirmación verificada de que se hayan comprometido los datos actuales de clientes de Lazada o todas las cuentas de Lazada en la región. La adquisición de RedMart por parte de Lazada explica la relación entre los nombres; sin embargo, el conjunto de datos verificado de la filtración corresponde a registros de los antiguos sistemas de RedMart. Además, no deben añadirse a este registro categorías de datos ajenas a los campos verificados, como el número de seguridad social, el pasaporte, la información de salud, el número completo de tarjeta, el CVV o la cuenta bancaria.

El mayor riesgo corresponde a los usuarios que reutilizan la contraseña de su cuenta de RedMart en cuentas de correo electrónico, compras, banca, redes sociales o trabajo. Aunque los hashes de las contraseñas no estén en texto plano, SHA-1 es un tipo de hash antiguo y rápido de calcular contra el que se pueden probar contraseñas, por lo que las contraseñas débiles, cortas o filtradas anteriormente pueden adivinarse con rapidez. Para quienes acceden a muchos servicios con la misma dirección de correo electrónico, este registro puede convertirse en un problema de seguridad mucho más amplio que el de una sola cuenta de compras.

Los usuarios cuyos datos de dirección y teléfono se han filtrado también son más susceptibles al fraude dirigido. Los estafadores pueden combinar nombres reales, direcciones de entrega reales e información parcial de tarjetas para crear engaños relacionados con un servicio de atención al cliente falso, devoluciones falsas, cargos de entrega falsos, la suspensión de una cuenta o la verificación de una tarjeta. Tampoco debe considerarse que las personas que no han comprado en RedMart desde hace mucho tiempo estén libres de riesgo, ya que los conjuntos de datos antiguos pueden utilizarse para phishing y para vincular perfiles incluso años después.

Cambie de inmediato la contraseña que haya utilizado anteriormente en su cuenta de RedMart o Lazada por una contraseña única y segura. Si ha usado la misma contraseña o una similar en otros servicios, actualice también esas cuentas por separado. Dé prioridad a las cuentas de correo electrónico, los servicios financieros, las cuentas de compras, las redes sociales y las cuentas de trabajo. No basta con renovar la contraseña mediante un pequeño cambio; si la contraseña anterior sigue un patrón predecible, los atacantes también pueden probar esas variaciones.

1. Active la autenticación multifactor: Utilice la autenticación mediante una aplicación o una llave de seguridad en todas las cuentas que la admitan.
2. Revise los estados de cuenta: Debido a los datos parciales de tarjetas, preste atención a las transacciones de importes pequeños y a las que no reconozca en su tarjeta.
3. No confíe en mensajes de soporte falsos: Si le piden una contraseña, un código de un solo uso, el número completo de la tarjeta o el CVV, interrumpa el proceso.
4. Reduzca los riesgos relacionados con su dirección y teléfono: No abra enlaces enviados con el pretexto de entregas, devoluciones o impuestos fuera de la aplicación o del sitio web oficiales.
5. Revise las sesiones de la cuenta: Si detecta un dispositivo que no reconoce, una nueva dirección de entrega, un cambio en la tarjeta registrada o un intento de pedido sospechoso, bloquee la cuenta.

Este incidente demuestra que las cuentas de comercio electrónico contienen no solo el historial de compras, sino también información de identidad, dirección, teléfono y pagos. A largo plazo, es necesario utilizar una contraseña única para cada sitio de compras, generar contraseñas aleatorias con un gestor de contraseñas y proteger la cuenta de correo electrónico con un nivel de seguridad alto e independiente. Revisar periódicamente las cuentas antiguas, cerrar las que ya no se utilizan y reducir el número de tarjetas guardadas disminuye la exposición personal al riesgo.

Para evitar el uso indebido de la información de dirección y teléfono, es importante que los usuarios evalúen los mensajes que reciben teniendo en cuenta su contexto. Un mensaje no debe considerarse fiable solo porque incluya su nombre real, el barrio de la dirección de entrega o los últimos cuatro dígitos de su tarjeta. La lección para las empresas también es clara: los datos de clientes que permanecen en sistemas antiguos representan un riesgo activo y deben protegerse, aunque estén separados de la actividad de los clientes actuales. Los límites de permisos, la autenticación independiente, evitar el almacenamiento innecesario de datos, un registro sólido de la actividad y los procesos de notificación rápidos reducen el impacto de este tipo de incidentes.

Si su dirección de correo electrónico coincide con una entrada de este registro, revise primero su historial de RedMart/Lazada y cualquier otra cuenta en la que utilice la misma contraseña. Una coincidencia no significa que se hayan comprometido los datos completos de su tarjeta ni toda su cuenta de Lazada; el alcance verificado incluye datos antiguos de clientes vinculados a RedMart, datos parciales de tarjetas y hashes de contraseñas. Aun así, debe tomar medidas frente al phishing, la toma de control de cuentas y el fraude dirigido.

Aunque no haya una entrada en el registro, si ha utilizado RedMart anteriormente, conviene tomar precauciones básicas: una contraseña única, autenticación multifactor, revisión de los estados de cuenta, cautela ante los mensajes sospechosos y eliminación de las tarjetas guardadas que ya no necesite. Si su dirección de correo electrónico aparece en esta filtración, no hay motivo para entrar en pánico; sin embargo, seguir utilizando la misma contraseña en otros servicios aumenta el riesgo. Un enfoque seguro consiste en aislar la cuenta afectada, dejar de compartir contraseñas con otras cuentas y ser más selectivo ante los intentos de ingeniería social que utilicen su información de teléfono o dirección.