Filtración de datos de Le Coq Sportif Columbia

Los tipos de datos observados en este registro son direcciones de correo electrónico, nombres, direcciones físicas, direcciones IP, fechas de nacimiento, información sobre el género, información de dispositivos, registros de compras y contraseñas. El campo de contraseña se evaluó como un hash bcrypt; aunque se trata de un formato de almacenamiento robusto, persisten los riesgos cuando las contraseñas son débiles o se reutilizan. Estos campos se evaluaron por separado; no se añadieron a la lista de categorías de datos tarjetas de pago, cuentas bancarias, documentos oficiales de identidad, mensajes privados, historiales médicos ni campos de perfil adicionales que no se hubieran verificado.

La información sobre compras y entregas puede dar credibilidad a mensajes sobre envíos falsos, devoluciones, verificación de pedidos y campañas. Aunque una dirección de correo electrónico por sí sola supone un riesgo de spam y phishing, al combinarse con el nombre, el teléfono, la dirección, la IP, la fecha de nacimiento o la información profesional, facilita que un atacante prepare un mensaje más personalizado. Por ello, la evaluación del riesgo no se basó únicamente en el número de registros, sino también en las posibilidades de uso conjunto de los campos.

El alcance se limitó a 79 712 cuentas correspondientes a mayo de 2023, y se corrigió el ámbito de la empresa afectado para identificarlo como la tienda en línea de Colombia. Se conservaron los campos de datos verificados y se excluyeron los no confirmados. Así, se informa al usuario sobre el registro existente sin alarmarlo en exceso ni subestimar el riesgo real.

No se añadieron campos como tarjetas de pago o documentos oficiales de identidad porque no se habían verificado; el dominio se dejó directamente como lecoqsportif.com.co. Si existen otros incidentes con un nombre similar al de este registro, no se agruparon en un único incidente de mayor alcance. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron en el contexto correcto más acotado posible; esto evita añadir filtraciones duplicadas o asociadas por error.

Los grupos de usuarios en riesgo son los clientes que abren una cuenta, realizan un pedido o comparten información de entrega en la tienda de Colombia. Los usuarios para quienes se encuentre una coincidencia deben tener en cuenta no solo su cuenta en el servicio correspondiente, sino también otras cuentas en las que utilicen el mismo correo electrónico, nombre de usuario o patrón de contraseña.

Si se utiliza la misma contraseña en otras cuentas de compras, correo electrónico o redes sociales, el riesgo puede traducirse directamente en intentos de tomar el control de esas cuentas. Para quienes se registraron con una dirección de correo electrónico corporativa, el riesgo puede ir más allá de la cuenta individual; los atacantes pueden utilizar información como el nombre, el cargo, el número de teléfono, la dirección, el historial de compras, el identificador de juego o el perfil profesional para enviar mensajes más convincentes. Por ello, los usuarios no deben considerar la coincidencia como un problema limitado a un solo sitio.

Los usuarios afectados deben cambiar la contraseña de su cuenta en la tienda y de cualquier otra cuenta en la que utilicen la misma contraseña. Si el registro contiene un campo de contraseña, deben actualizarse las contraseñas de todas las cuentas que utilicen esa misma clave; si no contiene ese campo, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono y las notificaciones falsas. En ambos casos, la cuenta de correo electrónico debe protegerse con una contraseña robusta y única.

En lugar de hacer clic en los enlaces del mensaje, se debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. Los mensajes que incluyan códigos de verificación recibidos por teléfono, solicitudes de restablecimiento de contraseña o avisos sobre envíos, ofertas de empleo, soporte, suscripciones o seguridad no deben darse por válidos sin verificarlos a través de un canal independiente.

No se debe conservar información innecesaria sobre direcciones y fechas de nacimiento en las cuentas de comercios minoristas, y se debe utilizar una contraseña distinta para cada tienda. Conviene revisar y eliminar periódicamente las cuentas antiguas, los campos de teléfono y dirección que ya no se usan, los nombres de usuario duplicados y los patrones de contraseña idénticos. Los usuarios deben utilizar una contraseña única para cada servicio y activar la verificación en dos pasos siempre que sea posible.

Para los proveedores de servicios, conservar solo los datos mínimos necesarios, proteger las contraseñas de forma robusta, supervisar los registros de acceso, eliminar los campos de perfil innecesarios y notificar a los usuarios tras una filtración son requisitos básicos. En el comercio minorista, los datos de pedidos y direcciones aportan un contexto tan valioso como una contraseña. En este tipo de incidentes, comunicar el alcance con precisión es tan importante como la corrección técnica; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

El usuario debe comprobar primero si su dirección de correo electrónico coincide con este registro. Si se encuentra una coincidencia, debe considerar que los campos de dirección, compras y contraseña también podrían estar en riesgo, y verificar cuidadosamente los mensajes relacionados con envíos o devoluciones. La ausencia de una coincidencia no descarta por completo la reutilización de contraseñas antiguas ni el uso de distintas direcciones de correo electrónico asociadas al mismo servicio; por ello, las cuentas críticas deben revisarse por separado.

Este registro siguió considerándose verificado; sin embargo, su alcance se limitó a la tienda de Colombia. En esta organización del contenido, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco y con contenido original, no se añadieron campos sin verificar y la marca de sensibilidad se utilizó únicamente cuando el contexto de riesgo la justificaba.