Filtración de datos de Moneycontrol

Los tipos de datos verificados en el registro de Moneycontrol son direcciones de correo electrónico, información de género, ubicación geográfica, contraseñas y números de teléfono. Una dirección de correo electrónico puede utilizarse para enviar al usuario una alerta de cuenta, una notificación de mercado, una solicitud de revisión de cartera o un mensaje de restablecimiento de contraseña falsos. El número de teléfono aumenta el riesgo de contacto directo mediante llamadas y mensajes de texto. La ubicación geográfica puede permitir dirigir los ataques según el país, la ciudad o el contexto regional del usuario.

El campo de contraseña es la parte más crítica de este registro. Dado que las fuentes mencionan contraseñas en texto plano, si la persona afectada utilizó la misma contraseña en otro servicio, el riesgo no se limita a la cuenta de Moneycontrol. La información de género y ubicación puede hacer más convincentes las falsas recomendaciones de inversión o los mensajes fraudulentos sobre finanzas personales. Esta combinación de datos hace especialmente necesarios los controles adicionales en aplicaciones financieras, cuentas de seguimiento bursátil, cuentas de correo electrónico y servicios de pago.

• El correo electrónico y la contraseña juntos facilitan los intentos de apropiación de cuentas.
• El número de teléfono puede utilizarse para falsas llamadas de soporte y engaños por SMS.
• La ubicación geográfica puede hacer más convincentes los mensajes financieros de ámbito regional.
• La información de género puede servir para completar un perfil en ataques de ingeniería social dirigidos.

El alcance de este registro se limitó a 762 874 cuentas afectadas, el dominio moneycontrol.com y cinco categorías de datos verificadas. Aunque no se indica con precisión cuándo se produjo el primer acceso, se supone que el archivo de datos se remonta a septiembre de 2017 y que los datos se hicieron visibles en 2021. Por ello, se consideró como fecha de la filtración el 7 de septiembre de 2017, según el rastro del archivo, y no la fecha de venta de 2021. La fecha de incorporación corresponde a su inclusión en las listas de verificación el 22 de mayo de 2021.

El registro no incluye como campos verificados datos de tarjetas de pago, cuentas bancarias, números de identificación, direcciones físicas, historiales de transacciones, información de carteras de inversión ni saldos de cuentas de inversión. Aunque la fecha de nacimiento aparece en algunas descripciones, no se añadió a la lista de campos principales porque no figura en el conjunto de categorías de datos verificadas. Esta distinción permite presentar el riesgo real sin alarmar innecesariamente al usuario. Se realizaron comprobaciones de duplicados basadas en el título, el nombre del campo, la fecha, el número de cuentas afectadas y las categorías de datos.

El principal grupo de riesgo está formado por usuarios que tenían una cuenta de Moneycontrol antes de 2017 o por esas fechas y que siguen utilizando la misma dirección de correo electrónico en cuentas de servicios financieros, inversión, noticias, seguimiento bursátil, pagos o redes sociales. Dado que existe un campo de contraseña, las personas que utilizan la misma contraseña en otros servicios corren un mayor riesgo. Los usuarios que siguen especialmente la bolsa y las noticias financieras pueden ser objeto de ataques mediante falsos consejos de inversión, revisiones de cartera o mensajes urgentes de verificación de cuenta.

Deben extremar las precauciones quienes utilizan su número de teléfono en servicios financieros, mantienen la misma dirección de correo electrónico durante mucho tiempo, no utilizan un gestor de contraseñas y no han activado la autenticación multifactor en las aplicaciones financieras. En el ámbito empresarial, si los datos personales de Moneycontrol de empleados de los equipos de finanzas, contabilidad, relaciones con inversores, medios de comunicación, investigación y ventas coinciden con su correo electrónico o teléfono de trabajo, puede aumentar el riesgo de pagos falsos, informes de mercado falsos o solicitudes de clientes falsas.

• Miembros de Moneycontrol que utilizan la misma contraseña en varias cuentas
• Personas que mantienen sus datos telefónicos y de correo electrónico en servicios financieros
• Usuarios activos interesados en la bolsa, las inversiones y las noticias de mercado
• Empleados que utilizan datos de contacto similares en sus cuentas de trabajo y de finanzas personales

Quien encuentre un resultado de Moneycontrol debe, en primer lugar, dejar de utilizar por completo la contraseña de esa cuenta y elegir una contraseña nueva y única para cada cuenta que utilice la misma contraseña o una similar. Deben revisarse primero las cuentas de correo electrónico, aplicaciones financieras, plataformas de inversión, servicios de pago, redes sociales y almacenamiento en la nube. Cambiar solo un carácter de la contraseña no se considera seguro; es preferible utilizar una contraseña distinta y larga para cada servicio.

Si el número de teléfono se ha filtrado, los enlaces sobre inversiones, créditos, pagos, alertas bursátiles o verificación de cuentas enviados por SMS deben comprobarse mediante un canal independiente. Siempre que sea posible, se debe activar la autenticación multifactor en las cuentas, revisar el historial de sesiones y los dispositivos conectados, y cerrar las sesiones desconocidas. No se deben atender solicitudes de contraseñas, códigos o pagos de personas que llamen y afirmen representar a Moneycontrol o a un servicio financiero. Utilizar un gestor de contraseñas es la forma más práctica de eliminar la reutilización de contraseñas.

• Cambie su contraseña de Moneycontrol y las de todas las cuentas que utilicen la misma contraseña.
• Active la autenticación multifactor en sus cuentas de correo electrónico y financieras.
• Verifique por un canal independiente los enlaces relacionados con inversiones que reciba por mensaje de texto o por teléfono.
• Revise su historial de sesiones, los dispositivos conectados y las alertas de inicio de sesión inesperadas.

Los datos filtrados de plataformas centradas en las finanzas, como Moneycontrol, conservan su valor durante mucho tiempo. Una combinación de correo electrónico, teléfono, ubicación y contraseña puede seguir utilizándose años después para phishing, falso asesoramiento de inversión, mensajes sobre manipulación del mercado o intentos de probar el acceso a cuentas. Por ello, los usuarios deben mantener actualizado un inventario de contraseñas, cerrar las cuentas que no utilicen, separar las direcciones de correo electrónico según su finalidad y dar preferencia a la autenticación mediante aplicaciones en las cuentas financieras críticas.

Para las organizaciones, este registro muestra que las filtraciones de datos personales de los empleados pueden repercutir en los procesos empresariales. Los equipos que trabajan con noticias financieras y datos de mercado deben utilizar un proceso de aprobación adicional frente a enlaces a informes falsos, archivos adjuntos sobre inversiones, solicitudes de redirección de pagos e intentos de confirmación telefónica. La formación en concienciación sobre seguridad, los controles que impiden reutilizar contraseñas, las pasarelas de correo electrónico seguras y las alertas sobre enlaces de riesgo reducen el impacto de estos incidentes.

Quien vea un resultado de Moneycontrol en LeakData.io debe comparar la dirección de correo electrónico y los datos telefónicos coincidentes con el historial de sus propias cuentas. El resultado no significa que la persona tenga hoy una cuenta activa de Moneycontrol; sin embargo, muestra que la cuenta incluida en el archivo de datos filtrados de 2017 se hizo visible en 2021. Por ello, lo adecuado es comprobar que la contraseña antigua ya no sea válida en ninguna cuenta y utilizar una capa adicional de seguridad en las cuentas financieras.

Este registro mantiene su estado de verificado, pero no se amplía su alcance a datos que quedan fuera de él. En lugar de actuar como si se hubieran filtrado datos de tarjetas de pago, cuentas bancarias, direcciones físicas o carteras de inversión, conviene centrarse en el riesgo real que plantean los datos de correo electrónico, teléfono, ubicación, género y contraseña. Los usuarios pueden reducir considerablemente el impacto de la filtración de Moneycontrol en sus cuentas actuales mediante contraseñas seguras, autenticación multifactor, verificación independiente y el hábito de rechazar las comunicaciones sospechosas.