Filtración de datos de Market Moveis

Los tipos de datos observados en este registro son direcciones de correo electrónico y nombres. No se verificaron campos de contraseña, teléfono, dirección ni tarjeta de pago. No se añadieron a la lista de categorías de datos campos no verificados de tarjetas de pago, cuentas bancarias, mensajes privados, documentos oficiales de identificación, registros de salud ni otros datos de perfil; solo se mantuvieron los campos respaldados por la evidencia.

El cruce de nombres y direcciones de correo electrónico puede utilizarse en campañas falsas, notificaciones de pedidos o mensajes de atención al cliente. Una dirección de correo electrónico por sí sola supone un riesgo de correo no deseado; al combinarla con un número de teléfono, una dirección, una IP, una fecha de nacimiento, una foto, un número de identificación o datos de seguimiento de dispositivos, resulta más fácil para un atacante crear mensajes personalizados para el usuario. Por ello, el riesgo se evalúa no solo según el número de registros, sino también según la posibilidad de combinar los datos.

El alcance se confirmó con el registro 28 220, fechado en agosto de 2023. Se conservaron los campos verificados y se excluyeron los no confirmados. El incidente no se combinó con otras marcas, registros con nombres similares ni incidentes de la misma empresa correspondientes a otros periodos.

El incidente se limitó al dominio marketmoveis.pt y no se añadieron otros dominios de clientes a la categoría de datos. Este enfoque evita añadir filtraciones duplicadas y mostrar al usuario información incorrecta sobre la responsabilidad de la organización. El dominio, el nombre de la empresa y la información del sector se mantuvieron dentro del contexto más acotado posible sin perder precisión; cuando había incertidumbre, se estableció el indicador de verificación o el dominio del sitio web según correspondiera.

Entre los grupos de usuarios en riesgo podrían encontrarse clientes que hayan abierto una cuenta en el sitio de Market Moveis, publicado reseñas de productos o enviado un formulario de contacto. Los usuarios para los que se encuentre una coincidencia también deberían revisar, además de la cuenta afectada, otras cuentas en las que utilicen el mismo correo electrónico, teléfono, nombre de usuario o patrón de contraseña.

Los mensajes sobre decoración del hogar o pedidos pueden utilizarse para dirigir al usuario a enlaces falsos. Si existe un contexto de correo electrónico corporativo, cuenta infantil o familiar, registro público, identidad en videojuegos, comunidad de alfabetización, software de supervisión o servicio profesional, el riesgo de ingeniería social puede aumentar. Los usuarios no deben considerar que los datos aparentemente correctos sobre ellos sean una señal de confianza.

Los usuarios afectados deben verificar en el sitio web oficial los mensajes sobre campañas, pedidos o actualizaciones de cuenta recibidos en nombre de Market Moveis. En el caso de cuentas con un campo de contraseña, se deben actualizar todas las cuentas que usen la misma contraseña; en el caso de cuentas sin ese campo, la atención debe centrarse en los riesgos relacionados con el teléfono, el correo electrónico, las notificaciones falsas y el cruce de datos de identidad.

En lugar de hacer clic en los enlaces del mensaje, se debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No se deben dar por válidos los mensajes sobre envíos, soporte, recompensas de videojuegos, advertencias de cuenta, registros públicos, notificaciones de seguridad, documentos compartidos o renovación de suscripciones sin verificarlos por un canal independiente.

Se deben reducir los permisos de marketing en las cuentas de comercios minoristas y compartir únicamente la información de contacto necesaria. Los usuarios deben revisar periódicamente sus cuentas y eliminar las antiguas, los campos de perfil innecesarios, los nombres de usuario duplicados y los datos de teléfono y dirección desactualizados. Usar una contraseña única para cada servicio y activar la verificación en dos pasos siempre que sea posible debe ser una norma básica.

Para los proveedores de servicios, es necesario minimizar los datos, proteger las contraseñas de forma sólida, supervisar los registros de acceso, eliminar los campos innecesarios y tener preparados los procesos de notificación a los usuarios. Incluso datos limitados, como el nombre y el correo electrónico, pueden bastar para enviar mensajes que suplanten a una marca. Explicar el alcance con precisión también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

El usuario debe comprobar primero este registro con su dirección de correo electrónico. Si se encuentra una coincidencia, debe asumir que el nombre y el correo electrónico pueden utilizarse en mensajes dirigidos específicamente a él, y verificar manualmente los enlaces de la tienda. La ausencia de coincidencias no descarta por completo el uso de otro correo electrónico ni la reutilización de una contraseña antigua; también se deben revisar las cuentas críticas.

Este registro mantuvo su estado de verificado; no se añadieron el indicador de sensibilidad ni campos de datos adicionales porque no se habían verificado. En esta edición, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco y con contenido original, no se añadieron campos sin verificar y el indicador de sensibilidad se utilizó únicamente cuando el contexto de riesgo lo respaldaba.