Filtración de datos de MGM Resorts de 2019

Aunque los datos expuestos en este registro no incluyen directamente contraseñas de cuentas, su combinación resulta especialmente útil para identificar a una persona y dirigir intentos de fraude contra ella. Con un nombre completo, una dirección de correo electrónico, un número de teléfono, una dirección física y una fecha de nacimiento, un atacante podría preparar mensajes que parezcan personalizados sobre reservas de hotel, notificaciones de programas de fidelización, confirmaciones de pago, mejoras de habitación, reembolsos o planes de viaje. Como las marcas de alojamiento y entretenimiento, como MGM Resorts, se comunican con sus huéspedes por varios canales, aumenta el riesgo de ingeniería social a través del correo electrónico, los SMS y las llamadas telefónicas.

La fecha de nacimiento y la dirección pueden utilizarse para vincular la identidad de una persona con información de otras fuentes. Un número de teléfono permite contactar directamente con ella mediante una llamada o un mensaje de soporte falsos. Una dirección física aporta contexto adicional para elaborar perfiles personales y dirigir publicidad o intentos de fraude. Por tanto, el riesgo no se limita al correo no deseado: también destacan el phishing, los avisos falsos de reservas, el fraude en cuentas de programas de fidelización y la agregación de datos personales. Sin embargo, no se debe comunicar al usuario que este registro contiene una filtración de contraseñas o tarjetas de pago.

El alcance verificado comprende el dominio mgmresorts.com, la fecha de la filtración del 25 de julio de 2019, la fecha de incorporación del 20 de febrero de 2020, 3 081 321 direcciones de correo electrónico únicas y 10,6 millones de registros de huéspedes. Se indica que el conjunto de datos está asociado a uno de los servicios en la nube utilizados por MGM Resorts, que posteriormente se distribuyó en un foro y que volvió a compartirse a través de distintas fuentes. En 2022 también se hizo un seguimiento de un superconjunto más amplio que se considera vinculado al mismo incidente; por tanto, el registro inicial de MGM Resorts no debe confundirse con el recuento del superconjunto de 2022.

No deben añadirse a este registro campos de tarjetas de crédito, cuentas bancarias, contraseñas, números de seguridad social, pasaportes o permisos de conducir. Aunque algunas auditorías oficiales mencionan tipos de números de identificación de subgrupos específicos, en un registro público destinado al usuario las categorías estándar de datos verificadas se limitan a la fecha de nacimiento, el correo electrónico, el nombre completo, el número de teléfono y la dirección física. MGM Resorts es una empresa del sector hotelero, de casinos, alojamiento y entretenimiento; por tanto, mantener la categoría de tecnología general en el campo del sector sería engañoso. El campo del país puede mantenerse como Estados Unidos.

El mayor riesgo afecta a los huéspedes que se hayan alojado en establecimientos de MGM Resorts, hayan hecho una reserva, utilizado una cuenta de un programa de fidelización o contactado con la marca por correo electrónico o teléfono. Una combinación de nombre, dirección, número de teléfono y fecha de nacimiento que pueda vincularse al historial de viajes puede hacer más convincentes los mensajes fraudulentos que parezcan personalizados. El riesgo puede aumentar para quienes utilicen los establecimientos de MGM en viajes de negocios, debido al vínculo entre las direcciones de correo electrónico corporativas y la información privada sobre su alojamiento.

Las personas cuyo número de teléfono y dirección de correo electrónico estén disponibles al mismo tiempo pueden recibir confirmaciones falsas de reservas, notificaciones de puntos de fidelización, promociones de casinos, reembolsos de alojamiento o solicitudes de verificación de pagos. En el caso de los usuarios cuya dirección física también esté disponible, la información personal utilizada en las preguntas de verificación de identidad puede resultar predecible. Dado que este registro no contiene contraseñas, no es correcto suponer que permita tomar el control directo de una cuenta; sin embargo, sí existe un riesgo real de que se intente obtener una contraseña o información de pago del usuario mediante mensajes de phishing e ingeniería social.

Los usuarios que vean coincidencias con MGM Resorts deben revisar primero con atención los mensajes sobre reservas, reembolsos, pagos, puntos de fidelización o promociones que reciban por correo electrónico y teléfono. En lugar de iniciar sesión mediante el enlace del mensaje, deben acceder directamente al servicio correspondiente desde la barra de direcciones. Si durante una llamada se les solicita información personal, como la fecha de nacimiento, la dirección, información de pago, un código de verificación o datos de una tarjeta, deben finalizar la conversación y verificar la solicitud a través del canal de comunicación oficial.

Aunque las contraseñas no son una categoría de datos verificada en este registro, es necesario proteger la cuenta de correo electrónico. Los usuarios deben utilizar una contraseña segura y única para esa cuenta, activar la verificación en dos pasos y cerrar las sesiones que no reconozcan. En las cuentas de MGM Rewards o de otros servicios similares de viajes o programas de fidelización, deben revisar las notificaciones de seguridad y el número de teléfono y la dirección de correo electrónico registrados. Los datos de tarjetas de crédito o cuentas bancarias no forman parte del contenido verificado de este registro; aun así, las notificaciones sospechosas sobre reservas y pagos deben comprobarse a través de los canales oficiales.

Los servicios de alojamiento, viajes y programas de fidelización requieren una gestión de la privacidad a largo plazo, ya que recopilan datos de contacto y direcciones, además de información de identidad. Los usuarios deben eliminar las direcciones antiguas innecesarias de sus cuentas de hoteles y viajes, cerrar las cuentas de programas de fidelización que ya no utilicen y mantener separados los correos electrónicos personales y laborales siempre que sea posible. Utilizar una dirección de correo electrónico independiente para los mensajes promocionales y de reservas de las marcas de viajes puede facilitar la identificación de mensajes de riesgo.

Desde la perspectiva de las empresas, este incidente demuestra que los datos de los huéspedes no son solo datos de marketing. Los servicios en la nube, los accesos de desarrolladores, las claves de acceso temporales y las cuentas de servicios externos deben someterse a auditorías rigurosas; el principio de mínimo privilegio, la autenticación multifactor y la evaluación rápida de las filtraciones deben convertirse en prácticas estándar. Cuando se expongan datos de huéspedes, no debe retrasarse el proceso de notificación y debe indicarse claramente qué ámbitos se vieron afectados y cuáles no. La minimización de datos y la notificación oportuna son tan importantes como las medidas técnicas para mantener la confianza.

Si encuentra una coincidencia con MGM Resorts en LeakData, considérela una filtración de datos de huéspedes de hoteles y casinos de 2019. La coincidencia indica que su dirección de correo electrónico, nombre completo, número de teléfono, dirección física y fecha de nacimiento podrían haber estado incluidos en este registro. Esto no significa que se hayan expuesto su contraseña o los datos de su tarjeta de pago. Las medidas principales son verificar los mensajes que reciba sobre viajes y reservas, proteger su cuenta de correo electrónico y revisar la información de su cuenta del programa de fidelización.

Si recibe un mensaje sospechoso sobre una reserva, un reembolso, el uso de puntos, una mejora de habitación o una verificación de pago, compruébelo a través del sitio oficial o del centro de atención telefónica sin hacer clic en el enlace. Los mensajes personalizados con información como la fecha de nacimiento y la dirección también pueden ser falsos. Los usuarios registrados con un correo electrónico laboral deben informar al equipo de seguridad de su empresa y tener precaución con los mensajes de phishing relacionados con viajes que reciban en su cuenta de trabajo. La lección para las organizaciones también es clara: los datos personales utilizados en las cuentas de viajes y programas de fidelización de los empleados pueden ser un punto de entrada para ataques dirigidos por correo electrónico.