Filtración de datos de MGM Resorts: actualización de 2022

Los tipos de datos verificados son fechas de nacimiento, direcciones de correo electrónico, nombres, números de teléfono y direcciones físicas. La combinación de estos campos aumenta el riesgo de phishing personalizado, mensajes falsos de reserva o cancelación, fraudes a través de centros de atención telefónica y uso indebido de los mecanismos de recuperación de cuentas. Un número de teléfono y una dirección de correo electrónico en el mismo perfil permiten a los atacantes intentar engañar a la víctima tanto por SMS como por correo electrónico, mientras que una fecha de nacimiento y una dirección coincidentes pueden dar más credibilidad a los pretextos usados en una verificación de identidad. Las contraseñas, las tarjetas de pago y las cuentas bancarias no figuran entre los tipos de datos verificados en este registro.

La fecha de referencia de la filtración es el 25 de julio de 2019. MGM Resorts afirmó que, en el verano de 2019, detectó un acceso no autorizado a un servidor en la nube que contenía una cantidad limitada de información de huéspedes y que notificó a las personas afectadas. En febrero de 2020 se publicaron 10,6 millones de filas de datos de huéspedes; en esa primera copia se verificaron 3 081 321 direcciones de correo electrónico únicas. En julio de 2020 se anunció un conjunto de datos más amplio que, según se afirmaba, contenía 142 479 937 registros de huéspedes, y en mayo de 2022 se compartieron ampliamente cuatro archivos que sumaban unos 8 GB. El análisis verificó 24 842 001 direcciones de correo electrónico únicas en este conjunto ampliado y concluyó que era muy probable que los datos procedieran del mismo incidente de 2019. Los aproximadamente 142 millones de filas sin procesar y las 24 842 001 direcciones de correo electrónico únicas son medidas distintas. No se divulgó públicamente el método detallado de acceso no autorizado, más allá de que se accedió a un servidor en la nube.

Están en riesgo las personas cuya información de contacto aparecía en los registros de huéspedes de MGM Resorts que se remontan a 2017 y a años anteriores. Quienes siguen usando el mismo número de teléfono o dirección física, quienes hicieron reservas para viajes de negocios con un correo electrónico corporativo y las personas con un perfil público pueden recibir mensajes dirigidos más convincentes. La combinación de un nombre, una fecha de nacimiento, una dirección y un número de teléfono puede ayudar a un atacante a hacerse pasar por un hotel o un servicio de viajes. Aparecer en el conjunto de datos no significa que alguien haya tomado el control de una cuenta activa de MGM ni que se haya expuesto información financiera.

Trate con cautela los correos electrónicos, los mensajes de texto y las llamadas inesperadas que afirmen proceder de MGM Resorts, de un servicio de reservas de hotel, de un programa de fidelización o de una agencia de viajes. Abra usted mismo el sitio web o la aplicación oficial en lugar de seguir los enlaces de los mensajes, y verifique las llamadas que soliciten cambios en una reserva, pagos o datos de identidad llamando a un número publicado. Active la autenticación multifactor en su cuenta de correo electrónico y, después, revise las sesiones activas y las opciones de recuperación. Aunque no se verificó la presencia de contraseñas en esta filtración, use una contraseña única para cada cuenta de viajes y de fidelización, y nunca facilite un código de seguridad ni datos de identidad adicionales a alguien que ya conozca su información de contacto.

Los datos difíciles de cambiar, como los nombres, las fechas de nacimiento, los números de teléfono y las direcciones, pueden facilitar ataques de ingeniería social años después. Separar las cuentas de viajes mediante alias de correo electrónico específicos, generar una contraseña única para cada cuenta con un gestor de contraseñas y eliminar los campos innecesarios de los perfiles puede reducir la exposición a largo plazo. Mantenga activadas las alertas de inicio de sesión en sus cuentas financieras y de correo electrónico, y sustituya periódicamente las opciones de recuperación que hagan referencia a un número de teléfono o una dirección antiguos. Quienes reserven viajes con un correo electrónico de trabajo deben informar al equipo de seguridad de su organización sobre los mensajes sospechosos relacionados con MGM o con hoteles.

Consulte este registro con la dirección de correo electrónico que utilizó con MGM Resorts. Una coincidencia significa que su dirección aparece en el conjunto de datos ampliado de MGM que circuló en 2022; no significa que los 142 millones de filas correspondieran a personas únicas. Si el resultado es positivo, dé prioridad a su cuenta de correo electrónico, sus perfiles de viajes y las cuentas importantes que utilicen los mismos datos de contacto. Si el resultado es negativo, recuerde que solo se aplica a este conjunto de datos y que debe consultar el primer registro de MGM Resorts por separado.