Filtración de datos de LuLu

En este incidente, la presencia de un campo de contraseña junto con los datos de contacto aumenta considerablemente el riesgo. Aunque las contraseñas no figuren en texto plano, los atacantes pueden intentar recuperarlas a partir de sus hashes. Si se utiliza la misma contraseña en otras cuentas, esto puede dar lugar a intentos de tomar el control de esas cuentas. Los campos de correo electrónico, teléfono y dirección también permiten dirigir ataques al usuario a través de distintos canales.

La información sobre compras puede ofrecer pistas sobre el historial de compras del usuario y las circunstancias de sus entregas. Estos datos pueden utilizarse en mensajes falsos sobre envíos, devoluciones, cupones para compras de alimentos, puntos de fidelidad, actualizaciones de pedidos o entregas de productos. Este registro no incluye datos completos de tarjetas de pago; sin embargo, la combinación de información sobre compras y direcciones puede hacer que los intentos de fraude resulten más convincentes.

El registro indica que el incidente ocurrió el 6 de julio de 2024 y consigna 2 796 835 registros afectados. Las noticias de seguridad disponibles públicamente señalaron inicialmente que se habían compartido datos de aproximadamente 196 mil clientes y que, más adelante, también apareció una copia de respaldo de una base de datos más grande. Las categorías de datos registradas son compatibles con esta ampliación del alcance, y el registro se mantiene con el estado de verificado.

Al explicar el alcance, conviene distinguir dos niveles: la primera filtración visible contiene información limitada de los clientes, mientras que el conjunto de datos más amplio que apareció después incluye más direcciones de correo electrónico e información sobre pedidos. No se espera que todas las filas contengan todos los campos. Además, la presencia de contraseñas almacenadas como hashes no significa que la contraseña del usuario se conozca automáticamente; aun así, exige medidas urgentes contra la reutilización de contraseñas.

Los usuarios en riesgo son los clientes que hayan creado una cuenta, realizado un pedido o compartido su número de teléfono y dirección de entrega en la tienda en línea de LuLu o en sus canales digitales de compra asociados. El riesgo es mayor para quienes utilizan la misma contraseña en cuentas de correo electrónico, bancarias, de redes sociales o de otras tiendas.

Como las compras minoristas y de alimentos son actividades frecuentes, los usuarios están acostumbrados a recibir mensajes sobre entregas, promociones o programas de fidelidad. Los atacantes pueden utilizar temas como números de pedido, retrasos en las entregas o cupones de descuento en mensajes falsos que incluyan nombres y números de teléfono reales. Por este motivo, los enlaces recibidos por SMS y aplicaciones de mensajería deben examinarse con cuidado.

Los usuarios cuyos datos coincidan con los del registro deben cambiar de inmediato la contraseña de su cuenta de LuLu y sustituir, una por una, las contraseñas de todas las demás cuentas en las que utilicen esa misma contraseña. Generar una contraseña única con un gestor de contraseñas es la medida más importante para evitar que este incidente afecte a otras cuentas. Debe activarse la autenticación de dos factores en todas las cuentas que lo permitan.

Si recibe mensajes que le solicitan alguna gestión relacionada con el seguimiento de envíos, reembolsos, puntos de fidelidad, vales de regalo o correcciones de pagos, verifique la solicitud a través de la aplicación oficial o de una dirección web conocida antes de hacer clic en cualquier enlace. Aunque quien llame conozca su nombre, su dirección o los datos de pedidos anteriores, no comparta códigos de verificación ni información de pago. Si detecta una transacción sospechosa, informe al banco y a la plataforma correspondiente por un canal distinto.

A largo plazo, debe evitarse por completo la reutilización de contraseñas en cuentas de tiendas. Utilizar distintos alias de correo electrónico para los sitios de compras facilita la identificación de la plataforma de la que procede un riesgo. Eliminar direcciones que ya no se utilizan, números de teléfono antiguos y datos de entrega guardados que no sean necesarios también reduce la cantidad de información que podría quedar expuesta en futuras filtraciones.

En las filtraciones que incluyen contraseñas almacenadas como hashes, no basta con proteger la cuenta de la tienda afectada. Deben revisarse por separado la cuenta de correo electrónico del usuario, los servicios de pago, las cuentas de servicios de envío y todos los servicios en los que se utilice la misma contraseña. El correo electrónico y el número de teléfono para recuperar la cuenta deben mantenerse actualizados, y deben activarse las alertas de inicios de sesión sospechosos.

La comprobación realizada en LeakData muestra si la dirección de correo electrónico del usuario aparece en los datos asociados a la filtración de LuLu. Si obtiene un resultado positivo, debe dejar de reutilizar contraseñas de inmediato y actuar con cautela ante mensajes falsos sobre envíos y promociones, teniendo en cuenta que sus datos de teléfono y dirección podrían utilizarse de forma indebida.

Un resultado negativo significa que no hay ninguna coincidencia en este registro; no demuestra que todas sus cuentas de tiendas estén seguras. Conviene comprobar periódicamente si la misma dirección de correo electrónico aparece en otras filtraciones y adoptar como práctica habitual el uso de contraseñas seguras y la verificación en dos pasos en las cuentas de compras.