Filtración de datos de MEO de 2020

En este registro, el identificador del cliente, los datos de contacto y el historial de compras se reúnen en un mismo conjunto de datos. La combinación de la dirección de correo electrónico, el nombre completo, el número de teléfono y la dirección física permite enviar mensajes sobre entregas, devoluciones, pagos, garantías o información de productos que resulten creíbles para el usuario. La información de compras puede revelar las preferencias de una persona respecto a productos como mascarillas y filtros. El nombre de usuario puede ayudar a vincular a esa misma persona con otras cuentas de comercio electrónico o de foros.

Es especialmente importante tener en cuenta que los datos de contraseñas están en formato de hash MD5 WordPress. Esto no significa que las contraseñas estén en texto plano; sin embargo, este antiguo formato de hash no ofrece suficiente resistencia cuando las contraseñas son débiles. Las contraseñas cortas, las que aparecen en diccionarios, las que contienen información personal o las que se reutilizan en otros servicios son más fáciles de adivinar. Por tanto, el riesgo asociado al registro de MEO no se limita a una cuenta de compras; si se mantiene el mismo hábito de uso de contraseñas en cuentas de correo electrónico, compras, redes sociales o trabajo, existe la posibilidad de que varias cuentas se vean comprometidas en cadena.

El alcance verificado comprende el dominio meoair.com, el 24 de diciembre de 2020 como fecha de la filtración, el 24 de abril de 2023 como fecha de incorporación y 8 227 registros de clientes afectados. Fuentes fiables identifican a MEO como una empresa de mascarillas con sede en Nueva Zelanda. Por ello, es más preciso indicar Nueva Zelanda como país de la empresa, en lugar de Estados Unidos, y clasificar su sector como mascarillas de protección y comercio electrónico, en lugar de comercio minorista general. Actualmente, el sitio está accesible y dispone de venta en línea y páginas de productos.

En este registro, los números de tarjetas de pago, las cuentas bancarias, los documentos de identidad, las fechas de nacimiento y los datos de salud sensibles no figuran entre las categorías de datos verificadas. Hay información de compras, pero no debe confundirse con datos de tarjetas de pago. Dado que no existe un registro público concluyente y detallado sobre la causa técnica, la explicación debe limitarse a los campos de datos verificados y a su impacto en los usuarios. La información de que la entidad no respondió a los intentos de notificación puede conservarse en una nota interna de fuentes; en la sección dirigida al usuario, lo principal es explicar qué datos quedaron expuestos, qué riesgo supone esa exposición y qué medidas son necesarias.

El mayor riesgo corresponde a los clientes que reutilizan la contraseña de su cuenta de MEO en otras cuentas. En particular, quienes utilizan la misma combinación de correo electrónico y contraseña para su cuenta de correo, otros sitios de compras, servicios de mensajería o cuentas relacionadas con pagos deben tomar precauciones cuanto antes. Los registros de clientes que contienen direcciones físicas y números de teléfono pueden hacer más convincentes las llamadas y los mensajes falsos que usan una entrega como pretexto. El nombre de usuario también puede permitir establecer vínculos con registros antiguos de comercio electrónico o de foros.

Los clientes que compran mascarillas y filtros pueden quedar expuestos a publicidad dirigida, campañas falsas y fraudes relacionados con devoluciones de productos debido a sus necesidades periódicas de productos sanitarios o de protección. El historial de compras puede ayudar a los atacantes a crear asuntos de mensajes que parezcan personalizados, como 'su pedido', 'su dirección de envío', 'su solicitud de devolución' o 'su suscripción de recambio de filtros'. Aunque este conjunto de datos pueda parecer pequeño, la combinación de información sobre direcciones, teléfonos, compras y contraseñas aumenta el riesgo práctico para el usuario.

Los usuarios que vean una coincidencia con MEO deben cambiar primero la contraseña de su cuenta de MEO y las de todas las cuentas en las que utilicen la misma contraseña o una similar. Las nuevas contraseñas deben ser únicas y almacenarse en un gestor de contraseñas. La protección de la cuenta de correo electrónico debe ser prioritaria, ya que los enlaces para restablecer contraseñas y las notificaciones de pedidos suelen llegar a la misma bandeja de entrada. Debe activarse la autenticación de dos factores en la cuenta de correo; deben revisarse las opciones de recuperación y cerrarse las sesiones desconocidas.

Debido a la información sobre direcciones, teléfonos y compras, los usuarios deben tener cuidado con los mensajes que usan como pretexto un envío, una devolución, filtros para mascarillas, una garantía, la cancelación de un pedido o la verificación de un pago. En lugar de abrir un formulario de inicio de sesión desde el enlace del mensaje, deben acceder directamente al sitio correspondiente. Si durante una llamada se solicita un número de pedido, una dirección, información de pago o un código de seguridad, deben interrumpir el proceso y verificar la solicitud a través del canal oficial de comunicación de la entidad. Al recibir una notificación sospechosa de un pedido o envío, deben guardar una captura de pantalla y no posponer las medidas de seguridad de la cuenta.

Este incidente demuestra que incluso los conjuntos pequeños de datos de clientes pueden generar riesgos de diversa índole. Los usuarios no deben reutilizar la misma contraseña en cuentas de compras, dejar sus direcciones de entrega guardadas en servicios que no necesitan ni mantener abiertas cuentas de tiendas que ya no utilizan. Es importante que las direcciones de correo electrónico, los números de teléfono y las direcciones de las cuentas de compras estén actualizados, pero que solo se conserve la información mínima necesaria. Un gestor de contraseñas aporta una capa adicional de protección a la cuenta de correo electrónico y permite generar contraseñas seguras y únicas.

Para los proveedores de servicios, el formato de hash de las contraseñas, la minimización de datos y la gestión de notificaciones son aspectos fundamentales. Deben abandonarse los antiguos formatos de hash basados en MD5 y utilizarse métodos seguros de almacenamiento de contraseñas; debe evitarse la conservación prolongada de datos de clientes innecesarios. En el comercio electrónico, la información de compras, direcciones y teléfonos debe protegerse mediante un acceso limitado; al recibir una notificación de seguridad, debe verificarse con rapidez y notificarse a los usuarios. La confianza de los clientes se mantiene no solo durante la venta, sino también durante la protección de los datos y la comunicación posterior a una filtración.

Si ve una coincidencia con MEO en LeakData, considérela un incidente de 2020 relacionado con la filtración de datos de clientes de una tienda en línea de mascarillas. La coincidencia indica que su dirección de correo electrónico, nombre completo, número de teléfono, dirección física, información de compras, nombre de usuario y contraseña en formato de hash MD5 WordPress podrían haber figurado en este registro. El primer paso es establecer contraseñas distintas en todas las cuentas en las que utilice la misma contraseña y reforzar la seguridad de su cuenta de correo electrónico.

Preste especial atención a los riesgos de fraude relacionados con entregas y pedidos en este registro. No considere fiables los mensajes que contengan detalles como la dirección de envío, un producto filtrante, un pedido de mascarillas o una solicitud de devolución, aunque parezcan personalizados. Compruebe el dominio antes de abrir un enlace, no introduzca información en formularios que soliciten datos de pago o códigos de seguridad y finalice las conversaciones si las llamadas son sospechosas. La lección también es clara para las entidades: es necesario impedir que los empleados reutilicen en sus cuentas de trabajo las contraseñas de sus cuentas de compras y organizar periódicamente formación sobre phishing centrada en el correo electrónico.