Filtración de datos de MSI

Aunque los tipos de datos incluidos en este registro no contienen directamente una contraseña, aumentan el riesgo de phishing y fraude. Una dirección de correo electrónico permite al atacante contactar con el usuario; el nombre, los apellidos y el número de teléfono ayudan a que el mensaje parezca personalizado. Una dirección física puede utilizarse en notificaciones engañosas relacionadas con entregas y procesos de servicio. Los detalles de las reclamaciones de garantía constituyen el contexto comercial más sensible del incidente. Un atacante que sepa para qué producto de hardware realizó el usuario un trámite de servicio puede enviar mensajes con asuntos muy verosímiles, como tarjeta gráfica, placa base, portátil, sustitución de piezas, etiqueta de envío o estado de la reparación. Estos datos por sí solos no permiten acceder a una cuenta bancaria; sin embargo, cuando coinciden la persona, el producto y el contexto de soporte adecuados, aumenta la probabilidad de inducir al usuario a visitar una página de pago falsa, descargar un archivo malicioso o compartir información de su cuenta. El número de teléfono también proporciona un canal de contacto adicional mediante llamadas o mensajes de texto. Por ello, se debe prestar especial atención a los mensajes dirigidos a las personas cuyos datos coincidan con el registro de MSI, sobre todo si se refieren a garantías, devoluciones, cambios, envíos, facturas o soporte técnico. Aunque el riesgo de descifrar la contraseña es bajo, ya que esta no se ha filtrado, podrían observarse intentos dirigidos contra otros servicios en los que se utilice la misma dirección de correo electrónico.

El número de cuentas verificadas debe registrarse como 249 990. La fecha del incidente se ha confirmado como el 7 de julio de 2024, y la fecha de incorporación a los sistemas de registro, como el 17 de enero de 2025. El alcance corresponde a registros de clientes asociados con RMA y reclamaciones de garantía de MSI. Este registro no implica que se hayan filtrado contraseñas de cuentas de MSI, números de la seguridad social, datos de licencias de conducir o tarjetas de pago. En declaraciones atribuidas a MSI, se sostuvo que el incidente no incluía tipos de números de identificación de mayor sensibilidad que afectarían al umbral de notificación, y que no hay pruebas de acceso. No obstante, los registros de clientes expuestos al acceso público conllevan riesgos prácticos, especialmente por los datos de contacto y las direcciones utilizados en los procesos de garantía. Aunque algunas noticias mencionan una cantidad mayor de registros de garantía, el número verificado de direcciones de correo electrónico únicas es de 249 990; esta cifra debe utilizarse como referencia para las búsquedas de usuarios y la identificación de coincidencias de cuentas. Los campos de datos también deben limitarse a direcciones de correo electrónico, nombres, números de teléfono, direcciones físicas y reclamaciones de garantía. No deben añadirse al registro público campos inciertos sobre la compra de productos o los detalles del servicio; solo debe comunicarse al usuario el alcance verificable. Este enfoque reduce tanto el riesgo de exagerar las afirmaciones como el de minimizar el riesgo real.

El grupo de mayor riesgo está formado por clientes que, antes de 2024 o en torno a ese periodo, presentaron una solicitud de RMA, garantía, reparación, sustitución o servicio para productos de MSI. Estas personas pueden recibir mensajes dirigidos que resulten verosímiles por sus referencias al modelo del producto y al proceso de servicio. El segundo grupo de riesgo incluye a quienes utilizan la misma dirección de correo electrónico para cuentas de trabajo, videojuegos, compras o servicios financieros. Aunque no se haya confirmado una filtración de contraseñas, los atacantes pueden combinar la dirección de correo electrónico con otros datos para hacer más convincentes los intentos de recuperación de cuentas o de phishing. El tercer grupo de riesgo está formado por usuarios cuya dirección física y número de teléfono no han cambiado; estas personas pueden recibir llamadas o SMS con el pretexto de una entrega de paquetes, una renovación de garantía, una sustitución de dispositivos o el cobro de cargos por servicio. Los aficionados al hardware, los jugadores, quienes montan equipos y las pequeñas empresas también deben actuar con precaución, ya que la información de garantía de productos de hardware costosos puede utilizarse en situaciones como la sustitución con piezas falsificadas o las solicitudes de pagos adicionales. En el caso de los usuarios que abren solicitudes de servicio con un correo electrónico corporativo, el riesgo también puede trasladarse al entorno laboral. Por ello, cualquier mensaje de soporte debe someterse a una verificación adicional, incluso si inspira confianza al usuario porque ya había abierto una solicitud de servicio.

Los usuarios cuyos datos coincidan con este registro deben revisar primero las solicitudes de garantía y servicio de MSI de los últimos años y actuar con cautela ante correos electrónicos, llamadas o mensajes de texto inesperados relacionados con ellas. Ante mensajes que soliciten pagos, etiquetas de envío, la sustitución de dispositivos o documentos adicionales para el proceso de garantía, es preferible iniciar sesión en la cuenta oficial desde una pestaña independiente antes de hacer clic en cualquier enlace. No deben abrirse enlaces acortados, archivos adjuntos ni documentos con macros recibidos por correo electrónico. Aunque la persona que llame proporcione datos correctos, como el modelo del producto, la dirección o el número de servicio, no deben compartirse datos de pago ni información de identidad; el contacto debe retomarse a través del canal oficial de soporte. Los usuarios también deben tener cuidado con los mensajes que se hacen pasar por empresas de mensajería, ya que los datos de dirección y teléfono podrían haberse filtrado. La cuenta de correo electrónico debe tener una contraseña segura y única, y la verificación en dos pasos debe estar activada. Aunque la contraseña no sea un campo de datos verificado en este caso, la seguridad de la cuenta de correo electrónico limita las acciones posteriores que podrían derivarse de mensajes de soporte falsos. Deben revisarse el historial de pedidos, las direcciones guardadas y el historial de sesiones de las cuentas de compras y tiendas de hardware abiertas con la misma dirección de correo electrónico. Los datos antiguos de dirección y teléfono que ya no sean necesarios deben eliminarse de las cuentas.

El incidente de MSI demuestra que los registros de soporte técnico y garantía también deben considerarse datos de clientes de alto valor. A largo plazo, los usuarios deben proporcionar únicamente la información necesaria en las solicitudes de servicio, considerar el uso de una dirección de correo con un control más estricto en lugar de su correo personal y revisar las notificaciones de los fabricantes de hardware mediante una rutina de seguridad específica. Utilizar un gestor de contraseñas, mantener una cuenta de correo electrónico bien protegida y dejar activada la autenticación de dos factores son medidas básicas de protección. Además, eliminar las direcciones antiguas guardadas en cuentas de compras y servicios, actualizar los números de teléfono que ya no se utilizan y dejar vacíos los campos de perfil innecesarios reduce el riesgo. Por parte de la empresa, son fundamentales el control de acceso a los registros RMA, las restricciones generales de indexación, los controles de exportación de registros, las revisiones periódicas de permisos y las inspecciones de los registros de actividad. En los paneles de atención al cliente, solo el personal autorizado debe acceder a los datos necesarios; los registros antiguos deben eliminarse al finalizar su periodo de conservación y deben realizarse comprobaciones periódicas para detectar accesos abiertos. El objetivo para el usuario es dificultar que los datos de servicio se utilicen en futuros fraudes. Esto puede lograrse reduciendo los canales de comunicación, verificando de forma independiente las solicitudes recibidas y conservando en las cuentas únicamente la información personal mínima necesaria.

Una coincidencia con el registro de MSI indica que la dirección de correo electrónico correspondiente figura entre los registros RMA y de garantía de julio de 2024. Al ver este resultado, el usuario debe comprobar primero con MSI si ha habido solicitudes anteriores de servicio, devolución, reparación o garantía. Si existe alguna, los nuevos mensajes relacionados con esa solicitud deben examinarse con especial atención. Aunque el mensaje incluya correctamente el modelo del producto, la dirección o el número de servicio, ese detalle por sí solo no debe considerarse una prueba de que sea seguro. Es más seguro acceder a la página oficial de soporte escribiendo la dirección manualmente que mediante un enlace. El usuario debe revisar la configuración de seguridad de su cuenta de correo electrónico, cerrar las sesiones que no reconozca y activar la autenticación de dos factores. Debido a la filtración de números de teléfono, también deben verificarse de forma independiente las solicitudes relacionadas con envíos, servicios o cargos que se reciban por SMS. Deben considerarse sospechosos los avisos de entrega inesperados, las solicitudes de pago contra entrega o las ofertas de sustitución de dispositivos que puedan derivarse de la filtración de direcciones físicas. En este incidente, dado que no se confirmó una filtración de contraseñas, la prioridad es reducir los riesgos de phishing, soporte falso y fraude en entregas, más que cambiar la contraseña. Aun así, utilizar contraseñas seguras y mecanismos de verificación adicional en las cuentas importantes asociadas con la misma dirección de correo electrónico limita el impacto de posibles intentos de ataque posteriores.