Filtración de datos de LBB

Las categorías de datos verificadas son la información del agente de usuario del navegador, las direcciones de correo electrónico, las direcciones IP, los nombres y las direcciones físicas. Estos campos por sí solos no permiten acceder a cuentas financieras; sin embargo, al combinarlos con el contexto de una plataforma de compras y estilo de vida, refuerzan los intentos de persuasión personalizados. Un atacante puede utilizar una dirección de correo electrónico y un nombre para enviar al usuario mensajes que parezcan comunicaciones auténticas de una marca, usar una dirección física como pretexto para una entrega o una invitación a un evento y emplear la información de IP y del navegador para que los detalles técnicos del mensaje resulten más convincentes.

• Direcciones de correo electrónico: Pueden utilizarse para campañas falsas, cupones falsos, alertas de cuenta y mensajes de colaboración con marcas.
• Nombres: Permiten personalizar los mensajes y son valiosos para las técnicas de ingeniería social destinadas a aumentar la confianza del usuario.
• Direcciones físicas: Pueden utilizarse indebidamente con el pretexto de una entrega, una devolución, la inscripción en un evento o la facturación.
• Direcciones IP: Pueden dar una idea de la ubicación aproximada y del proveedor de servicios de internet; también pueden reforzar las referencias geográficas que los estafadores utilizan para dirigirse a sus víctimas.
• Información del agente de usuario del navegador: Puede hacer más convincentes los engaños de soporte técnico o las falsas notificaciones de seguridad al dar una idea del dispositivo, el navegador y el sistema operativo.

El alcance verificado debe limitarse al incidente de LBB del 14 de febrero de 2019 y a las 39 288 cuentas de correo electrónico únicas. Los registros de las fuentes indican que los datos se compartieron en un foro en agosto de 2022, que los datos más recientes datan de principios de 2019 y que el conjunto contiene más de 3 millones de filas. Este número de filas no equivale al número de personas ni al de direcciones de correo electrónico individuales. Por tanto, el campo de número de registros conserva una métrica fiable de cuentas únicas; la descripción señala el mayor volumen de filas como una nota de alcance independiente.

Según la evaluación comunicada por LBB, se indicó que los datos quedaron expuestos a través de un servicio de terceros y que se habían mezclado datos adicionales con algunos de los campos que LBB mantiene sobre sus clientes. Esta distinción es importante: no debe presentarse la información como si todos los campos procedieran directamente de la cuenta de LBB. Además, las contraseñas, los hashes de contraseñas, los números de teléfono, las tarjetas de pago, el CVV, las cuentas bancarias, los datos de identificación oficial, los pasaportes y los datos de salud no figuran entre las categorías de datos verificadas de este registro. El riesgo para los usuarios debe describirse como limitado al impacto del phishing y de los ataques dirigidos derivados de la información de perfil y de contacto.

El grupo de mayor riesgo está formado por los usuarios que facilitan información de cuenta o de contacto en LBB para realizar compras, descubrir marcas, consultar guías de ciudades, participar en eventos o promociones, o recibir recomendaciones de productos. Estas personas pueden ser blanco de mensajes con descuentos falsos, concursos falsos, ofertas falsas de marcas, entregas falsas y verificaciones de cuenta falsas. La presencia de una dirección física en los datos permite al estafador vincular el mensaje con la ciudad o la información de entrega del usuario. Esto crea una vía de ataque más convincente que los mensajes habituales de spam.

Los usuarios cuyas direcciones IP e información del agente de usuario del navegador se hayan filtrado afrontan riesgos adicionales, como intentos de phishing relacionados con el soporte técnico o la seguridad del dispositivo. Por ejemplo, un mensaje que se dirija al usuario con información específica sobre su navegador o dispositivo puede parecer una alerta de seguridad legítima. Dado que este registro no contiene contraseñas, el riesgo directo de apropiación de cuentas es más limitado que en los incidentes que incluyen filtraciones de contraseñas. No obstante, si la dirección de correo electrónico se vincula con contraseñas de otras filtraciones, los atacantes pueden combinar datos de distintas fuentes.

Si su dirección de correo electrónico aparece en el registro de LBB, revise primero si hay comunicaciones sospechosas, enlaces a campañas que no reconoce, notificaciones de entrega inesperadas y solicitudes de verificación de dirección en LBB y en las cuentas de compras relacionadas. La contraseña no es un campo de datos verificado en este incidente; aun así, debe utilizar contraseñas seguras y únicas y autenticación multifactor en las cuentas importantes en las que use la misma dirección de correo electrónico, ya que el riesgo puede aumentar si esa dirección se vincula con otros conjuntos de datos.

1. Evite los enlaces sospechosos: Verifique los mensajes sobre cupones, reembolsos, envíos, eventos o alertas de cuenta accediendo por su cuenta al sitio oficial.
2. Revise las solicitudes relacionadas con su dirección: Desconfíe de los mensajes que le pidan de nuevo su dirección física, soliciten una tarifa de entrega o le pidan verificar un pago.
3. Refuerce la seguridad de su correo electrónico: Utilice una contraseña única y autenticación multifactor en su cuenta de correo electrónico; revise las direcciones de recuperación.
4. No confíe en los mensajes que incluyan información sobre su dispositivo: El hecho de que un mensaje conozca los datos de su navegador o sistema operativo no lo hace fiable por sí solo.
5. Refuerce los filtros de spam y phishing: Marque los remitentes desconocidos, los enlaces acortados y los mensajes que lo presionen para actuar con urgencia.

Para protegerse a largo plazo, es necesario reducir la cantidad de datos personales que se comparten innecesariamente en plataformas de compras y estilo de vida. Cerrar las cuentas que no utiliza, mantener actualizadas las direcciones registradas y limitar su cantidad, revisar los permisos para recibir campañas y utilizar una dirección de correo electrónico enmascarada reduce las posibilidades de ser blanco de ataques. Especialmente cuando la dirección física y el correo electrónico figuran en el mismo perfil, una filtración de datos puede seguir siendo útil para la ingeniería social incluso años después.

En los servicios de descubrimiento de marcas, moda, hogar, belleza y guías de ciudades, los usuarios reciben con frecuencia mensajes de campañas, invitaciones y recomendaciones. Este flujo habitual de comunicaciones supone una ventaja para los atacantes. Por ello, debe comprobar en cada mensaje el lenguaje utilizado por la marca, el dominio del remitente, el destino del enlace y cualquier solicitud de pago. Por parte de la empresa, los campos de información de clientes que se comparten con servicios de terceros deben inventariarse periódicamente, los conjuntos de datos enriquecidos deben supervisarse como riesgos independientes y los campos innecesarios deben reducirse de forma permanente.

Encontrar una coincidencia en este registro significa que su dirección de correo electrónico asociada a LBB está presente en el conjunto de datos verificado. Una coincidencia no significa que su contraseña o su tarjeta de pago se hayan filtrado en este incidente. Los campos verificados se limitan al correo electrónico, el nombre, la dirección física, la dirección IP y la información del agente de usuario del navegador. Aun así, debe actuar con cautela ante campañas falsas, entregas falsas, comunicaciones falsas que suplantan a marcas e intentos de phishing personalizados.

Lo más adecuado después de la comprobación es reforzar la seguridad de su cuenta de correo electrónico, revisar las direcciones registradas en LBB y en servicios de compras similares, evitar abrir mensajes sospechosos y no realizar pagos ni facilitar información a través de enlaces no oficiales. Si utiliza la misma dirección de correo electrónico en muchos servicios, recuerde que la información de distintas filtraciones de datos puede combinarse. Por tanto, aunque un incidente concreto no incluya contraseñas, la seguridad de la cuenta, las buenas prácticas de correo electrónico y la minimización de datos personales deben abordarse conjuntamente.