Filtración de datos de MyCastingFile (2020)

Los tipos de datos verificados en este registro abarcan la amplia información personal ingresada para crear un perfil de casting. El nombre, la dirección de correo electrónico, el número de teléfono y la dirección postal representan un riesgo directo de contacto y vinculación de identidades. La fecha de nacimiento, los datos de ubicación y las fotografías de perfil pueden facilitar la vinculación de la presencia en línea de una persona con su identidad real. Campos como las características físicas, la estatura, el peso, el color de cabello o piel, el origen étnico, la talla de ropa y la información del vehículo crean un perfil más sensible que el de una lista de cuentas convencional. El historial laboral y el contexto de casting pueden ser utilizados para ofertas falsas de papeles, mensajes ficticios de productoras o fraudes basados en promesas de pago. Esta combinación de datos genera riesgos de phishing dirigido, acoso, suplantación de identidad y peligros que se extienden al entorno físico, aun sin contener contraseñas.

La fecha verificada del incidente debe considerarse el 31 de mayo de 2020; los resultados de la investigación se dieron a conocer públicamente el 16 de julio de 2020. Dado que se notificó que la cantidad de usuarios afectados superaba los 260 000, en el sistema debe emplearse un valor de registro principal de 260 000. Se informó que el repositorio de datos restante tenía un tamaño aproximado de 1 GB y contenía 9 456 433 registros; este número no corresponde a la cantidad de usuarios únicos, sino al volumen de perfiles y registros asociados. Dado que en este registro no se verificaron contraseñas, tarjetas de pago, cuentas bancarias ni números de identificación oficiales, estos campos no están incluidos. La afirmación de que todas las fotos son accesibles tampoco se generaliza; el informe indica que algunas fotografías son accesibles y que los contenidos se encuentran almacenados en distintos puntos de alojamiento. El alcance se encuentra verificado con alto nivel de certeza dentro de estos límites.

En el grupo de mayor riesgo se encuentran las personas que incluyeron su dirección real, número de teléfono, fecha de nacimiento, fotografía actual, información del vehículo y características físicas detalladas en su perfil de casting. Las personas que buscan trabajo como actores, extras, modelos o personal de rodaje pueden ser blanco fácil de ofertas falsas de papeles que aparentan ser realistas. Los perfiles de actores infantiles o jóvenes conllevan riesgos particulares; incluir características físicas y fotografías junto con la información de contacto de los padres aumenta el impacto en la seguridad. El historial laboral y la información de ubicación pueden ayudar a un atacante a redactar mensajes más convincentes basados en una ciudad, set, agencia o nombre de producción específicos. Para quienes utilizan la misma dirección de correo electrónico en redes sociales, portafolios de actuación y cuentas de pago, el riesgo de vinculación de identidades y fraude es mayor.

Si encuentra una coincidencia en este registro, revise primero la información de contacto y los portafolios disponibles públicamente en su cuenta de MyCastingFile. Si utiliza el mismo número de teléfono, correo electrónico y fotografías en distintas plataformas, refuerce la configuración de privacidad. Si recibe mensajes a nombre de un casting, agencia, productora o equipo de rodaje solicitando honorarios, información bancaria, documentos de identidad, verificación de domicilio o pagos inmediatos, detenga el proceso y compruébelo de manera independiente por otro canal. Los padres deben reducir la información extraíble, como fotos, direcciones y lugares del entorno escolar, en las cuentas asociadas al perfil de un menor. No responda a mensajes sospechosos, no abra enlaces ni descargue archivos adjuntos. Active la autenticación de dos factores en el correo electrónico utilizado para la cuenta y revise también por separado las cuentas críticas asociadas a esa misma dirección.

En los servicios de perfiles de talento y casting, los usuarios deben evitar compartir detalles que no sean necesarios para una postulación laboral y simplificar periódicamente la información de su portafolio. Cuando se acumulan fotos, direcciones, vehículos y características físicas en un mismo perfil, el riesgo no se limita únicamente al fraude en línea; la seguridad física de la persona también puede verse afectada. Por ello, es importante utilizar una dirección de correo electrónico independiente, compartir números de teléfono únicamente con agencias de confianza, eliminar portafolios antiguos y separar los perfiles de redes sociales de las cuentas de casting. La lección fundamental para las entidades que operan plataformas es no dejar repositorios de búsqueda y de perfiles abiertos sin autenticación, revisar periódicamente los registros de acceso, establecer una capa de protección diferenciada para perfiles de menores y reducir los períodos innecesarios de retención de datos.

Ver una coincidencia con MyCastingFile 2020 en este registro indica que la dirección de correo electrónico vinculada pudo haber estado incluida en un perfil de casting o en datos de postulaciones de talentos. La coincidencia no prueba que una contraseña o tarjeta de pago hayan quedado expuestas; significa que el riesgo verificado abarca el uso combinado de un amplio conjunto de datos del perfil personal, fotografías, datos de contacto, información de ubicación y características físicas. Los usuarios deben revisar postulaciones anteriores a castings, páginas de portafolios, enlaces a redes sociales y contactos de agencias; asimismo, deben verificar de forma independiente cualquier solicitud de papeles, pagos, viajes o confirmación de identidad proveniente de remitentes desconocidos. Para las organizaciones, el registro debe clasificarse como un riesgo elevado para perfiles personales derivado de un repositorio de datos abierto en 2020, y deben considerarse especialmente medidas de protección adicionales para perfiles de actores infantiles o jóvenes.