Datos atribuidos erróneamente a Flipkart

Los tipos de datos presentes en este registro son direcciones de correo electrónico, ubicaciones geográficas, pares de latitud y longitud, nombres y números de teléfono. No se verificó el campo de contraseña o tarjeta de pago. No se añadieron a la lista de categorías de datos tarjetas de pago, cuentas bancarias, mensajes privados, documentos oficiales de identidad, historiales médicos ni campos de perfil adicionales que no estuvieran verificados; solo se conservaron los campos respaldados por la evidencia.

Los números de teléfono y los datos de ubicación precisa pueden permitir una gran personalización de mensajes falsos sobre entregas, servicios locales, envíos o verificación de cuentas. Una dirección de correo electrónico por sí sola supone un riesgo de recibir mensajes no solicitados; al combinarla con un teléfono, una dirección, una IP, una fecha de nacimiento, una foto, un número de identificación o datos de seguimiento de dispositivos, resulta más fácil para un atacante crear mensajes dirigidos específicamente al usuario. Por ello, el riesgo se evalúa no solo por la cantidad de registros, sino también por la utilidad de los datos al combinarlos.

El alcance se limita al registro de 552 094 entradas fechado en septiembre de 2022, pero no se verificó que el conjunto de datos procediera de los servicios de Flipkart. Se excluyeron los campos no confirmados y se conservaron los verificados. El incidente no se combinó con otras marcas, registros con nombres similares ni incidentes de la misma empresa ocurridos en otros periodos.

Por tanto, el registro no se etiquetó como una filtración de un dominio; se mantuvo India como país y el sector se delimitó al contexto de los datos de clientes de comercio electrónico. Este enfoque evita añadir filtraciones duplicadas y atribuir ante el usuario una responsabilidad a la entidad equivocada. El nombre del dominio, el nombre de la empresa y la información del sector se mantuvieron dentro del contexto más acotado y preciso posible; cuando había incertidumbre, el indicador de verificación o el dominio del sitio web se ajustaron en consecuencia.

Los grupos de usuarios en riesgo pueden incluir a clientes cuyos datos figuren en conjuntos de datos de comercio electrónico de India o a personas cuya información de teléfono y ubicación haya circulado. Los usuarios para los que se encuentre una coincidencia también deberían revisar otras cuentas en las que utilicen el mismo correo electrónico, teléfono, nombre de usuario o patrón de contraseña, además de la cuenta relacionada con este registro.

En el caso de los usuarios cuyos datos incluyen coordenadas de ubicación, el riesgo para la seguridad física y de recibir mensajes fraudulentos de ámbito local es mayor que el derivado de las listas de correo electrónico. El riesgo de ingeniería social puede aumentar si existe un contexto de correo corporativo, cuenta infantil o familiar, registro público, identidad en videojuegos, comunidad de alfabetización, software de supervisión o servicio profesional. Los usuarios no deben considerar que los detalles aparentemente correctos sobre ellos sean una señal de confianza.

Los usuarios afectados deberían comprobar por el canal oficial los mensajes sobre envíos, devoluciones, entregas locales y verificación de cuentas telefónicas. Si el registro incluye un campo de contraseña, se debería cambiar la contraseña en todas las cuentas que utilicen la misma; si no lo incluye, la atención debería centrarse en los riesgos relacionados con el teléfono, el correo electrónico, las notificaciones falsas y la vinculación de identidades.

En lugar de hacer clic en los enlaces del mensaje, se debería escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No se debe dar por válido ningún mensaje sobre paquetería, soporte, recompensas en juegos, alertas de cuenta, registros públicos, notificaciones de seguridad, documentos compartidos o renovación de suscripciones sin verificarlo por un canal independiente.

Los usuarios deberían reducir la divulgación innecesaria de números de teléfono y ubicaciones en sus cuentas de comercio electrónico y no facilitar ubicaciones precisas en formularios que no estén destinados a entregas. Deberían depurar periódicamente las cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario duplicados y los datos antiguos de teléfono y dirección. La regla básica debería ser utilizar una contraseña única para cada servicio y activar la autenticación de dos factores siempre que sea posible.

Desde la perspectiva de los proveedores de servicios, son necesarias la minimización de datos, una protección sólida de las contraseñas, la supervisión de los registros de acceso, la eliminación de campos innecesarios y la preparación de los procesos de notificación a los usuarios. En los conjuntos de datos atribuidos erróneamente, evitar presentar a la marca como responsable de forma concluyente es esencial para la confianza de los usuarios. Explicar correctamente el alcance también forma parte de las medidas de seguridad; la información exagerada o incompleta puede inducir al usuario a tomar medidas equivocadas.

En primer lugar, compruebe este registro con su dirección de correo electrónico. Si se encuentra una coincidencia, considere que su número de teléfono, nombre e información de ubicación precisa podrían estar en riesgo; no dé por hecho que su cuenta de Flipkart haya sido comprometida directamente. La ausencia de una coincidencia no descarta por completo que se haya utilizado otro correo electrónico o reutilizado una contraseña antigua; revise también sus cuentas críticas.

Este registro se mantuvo como sensible, pero no verificado; además, se añadió la categoría de datos de pares de latitud y longitud, que faltaba. En esta edición, los campos de datos se conservaron como categorías canónicas en inglés, las descripciones visibles para el usuario se redactaron en turco con contenido original, no se añadieron campos sin verificar y el indicador de datos sensibles se utilizó únicamente cuando el contexto de riesgo lo justificaba.