Filtración de datos de Locally

Los principales tipos de datos verificados en este registro son direcciones de correo electrónico, números de teléfono, direcciones físicas, registros de compras, información parcial de tarjetas de crédito y datos de contraseñas. La información parcial de las tarjetas se refiere a campos limitados, como el tipo de tarjeta y los últimos cuatro dígitos; ni el número completo de la tarjeta ni su código de seguridad figuran como campos verificados en este registro. Los datos de contraseñas están representados como hashes bcrypt. Un formato de hash sólido no equivale directamente a una contraseña en texto plano, pero el riesgo persiste si las contraseñas son débiles o se reutilizan.

La presencia del correo electrónico, el teléfono y la dirección física en un mismo registro aumenta la probabilidad de ataques dirigidos de ingeniería social. La información de las compras puede indicar al atacante qué producto, tienda o situación relacionada con un pedido puede vincularse al usuario. La información parcial de una tarjeta puede no ser suficiente por sí sola para realizar un pago, pero puede utilizarse para generar confianza en conversaciones fraudulentas que simulan proceder de un banco o tratar sobre un reembolso. Por ello, el riesgo debe evaluarse en las categorías de apropiación de cuentas, phishing, supervisión de la actividad de las tarjetas y fraude basado en la dirección física.

El alcance verificado corresponde al incidente de Locally de octubre de 2022 y a 362 619 cuentas afectadas. El registro se incluyó como verificado en grandes conjuntos de datos de filtraciones en julio de 2023. La lista de categorías de datos comprende seis áreas principales: direcciones de correo electrónico, datos parciales de tarjetas de crédito, contraseñas, números de teléfono, direcciones físicas y registros de compras. Se indica que la empresa reconoció expresamente la filtración, pero no se sabe con claridad si se enviaron notificaciones a los clientes afectados.

En este registro no deben incluirse como campos verificados los números completos de tarjetas de crédito, los códigos de seguridad de las tarjetas, las cuentas bancarias, los números de identificación oficial ni los datos de salud. Tampoco se ha confirmado el punto de entrada técnico del incidente; no deben presentarse como hechos concluyentes afirmaciones específicas sobre una vulnerabilidad, malware o una cuenta de empleado. El registro debe abordarse desde la perspectiva de las cuentas de clientes y los datos de transacciones. De este modo, el usuario actúa en función de los riesgos derivados de los campos de datos realmente observados, y no de situaciones sin verificar.

El mayor riesgo corresponde a las personas que buscan productos de tiendas locales a través de Locally, realizan pedidos y utilizan la opción de entrega o de recogida en tienda. Si se utilizan el mismo correo electrónico y número de teléfono en otras cuentas de compras, un atacante puede intentar identificar a la misma persona en distintos servicios. La dirección física puede vincular al usuario con una ciudad, una zona comercial o una ruta de entrega concretas. El historial de compras también hace que los mensajes dirigidos a esa persona parezcan más realistas.

Los empleados del comercio minorista, los representantes de tiendas, los compradores habituales, quienes utilizan la misma contraseña en varias cuentas y quienes no revisan regularmente las transacciones de sus tarjetas deben extremar la precaución. La información parcial de las tarjetas puede utilizarse especialmente en llamadas falsas de asistencia en las que se pide al usuario que facilite los dígitos restantes de su tarjeta. Aunque los hashes de contraseñas Bcrypt ofrecen una protección sólida, las contraseñas cortas, predecibles o utilizadas anteriormente conllevan un riesgo adicional. Por ello, debe darse prioridad a la revisión de las cuentas con contraseñas reutilizadas.

Si tiene una cuenta local, cambie su contraseña por una larga y exclusiva para esa cuenta. Si utiliza la misma contraseña o una similar en otras cuentas de compras, correo electrónico, redes sociales o pagos, elija una contraseña nueva y distinta para cada cuenta. Active la autenticación de dos factores en las cuentas que la admitan y revise las sesiones registradas y las opciones de recuperación de la cuenta. Aunque la contraseña aparezca como un hash, si se reutiliza, un atacante puede intentar usarla en otros sitios.

Revise las transacciones de su tarjeta de crédito y tenga cuidado con las llamadas, los SMS o los correos electrónicos que incluyan el tipo de tarjeta o sus últimos cuatro dígitos. Si recibe un mensaje en nombre de un banco o una tienda que le solicita verificar un pedido, una entrega, una devolución o una tarjeta, utilice la aplicación oficial o la dirección conocida del sitio web en lugar de hacer clic en un enlace. Dado que la dirección y el teléfono también son visibles, verifique por otro canal cualquier comunicación inesperada sobre envíos o recogidas en tienda, así como las llamadas inesperadas de atención al cliente. Si detecta un pago o alguna actividad sospechosa relacionada con un pedido, contacte directamente con el emisor de la tarjeta y con la tienda correspondiente.

A largo plazo, conviene utilizar un alias de correo electrónico independiente, una contraseña exclusiva y, si es posible, notificaciones de pago para las cuentas de compras. No conservar tarjetas guardadas innecesarias, direcciones antiguas ni números de teléfono antiguos en el navegador o en las cuentas de las tiendas reduce la cantidad de datos que pueden quedar expuestos. Los mensajes que contienen información sobre pedidos y entregas deben comprobarse siempre desde las cuentas oficiales; no debe suponerse que alguien que conoce los últimos cuatro dígitos de una tarjeta trabaja para el banco o la tienda.

Utilizar un gestor de contraseñas facilita la detección de contraseñas reutilizadas y la creación de contraseñas sólidas para cada servicio. Dado que la cuenta de correo electrónico desempeña un papel central, también debe reforzarse su seguridad. Se puede optar por las notificaciones instantáneas del emisor de la tarjeta, los límites de gasto y las tarjetas virtuales. Los registros antiguos de compras en comercios pueden reutilizarse en mensajes fraudulentos incluso años después; por este motivo, la revisión y limpieza periódica de las cuentas y el seguimiento de las transacciones deben formar parte de una rutina permanente de seguridad.

Si el resultado de Locally aparece como positivo en LeakData, este registro está asociado con la exposición de datos de clientes y compras de Locally en octubre de 2022. El primer paso debe ser localizar la cuenta utilizada en Locally o en la tienda afiliada con la dirección de correo electrónico correspondiente. Después, debe comprobarse, punto por punto, si la contraseña se ha utilizado en otros servicios, si el teléfono y la dirección registrados están actualizados y si hay transacciones inusuales en la actividad de la tarjeta.

Las categorías de datos verificadas para este registro de filtración son direcciones de correo electrónico, datos parciales de tarjetas de crédito, información de contraseñas, números de teléfono, direcciones físicas y registros de compras. Los datos de contraseñas deben interpretarse como hashes bcrypt; los números completos de tarjetas, los códigos de seguridad de las tarjetas, los números de cuentas bancarias y los números de identificación oficial no son campos verificados de este registro. Las medidas que tome el usuario deben centrarse en la reutilización de contraseñas, el phishing dirigido, la ingeniería social basada en la dirección física y la supervisión de la actividad de las tarjetas.