Filtración de datos de MyPertamina de 2022

Los principales tipos de datos del registro de MyPertamina son fechas de nacimiento, direcciones de correo electrónico, información sobre el género, nombres, números de teléfono, direcciones físicas y registros de compras. El campo de contraseña no figura entre las categorías de datos verificadas de este registro; por tanto, el incidente no debe presentarse como una vulneración directa de contraseñas. Sin embargo, el riesgo no disminuye: solo cambia su naturaleza. Al combinar correo electrónico, teléfono, nombre, dirección y fecha de nacimiento, un atacante puede hacer más convincentes los intentos de phishing dirigido, las llamadas falsas de asistencia, los fraudes relacionados con entregas o pagos y los intentos de eludir las preguntas de autenticación.

Los datos de compras también entrañan riesgos relacionados con el comportamiento. Los hábitos de consumo de combustible o de uso de servicios pueden ofrecer indicios indirectos sobre los patrones de ubicación del usuario, el uso de su vehículo y los momentos en que realiza pagos. Al combinarse con la dirección física y el número de teléfono, esta información puede sentar las bases no solo de problemas con las cuentas digitales, sino también de acoso fuera de internet, llamadas sobre promociones fraudulentas y ataques de ingeniería social. Por tanto, la filtración de MyPertamina debe considerarse un registro crítico, ya que contiene una combinación de datos muy útil para elaborar perfiles personales, aunque no incluya contraseñas.

Las cifras de personas, los campos de datos y las afirmaciones de los actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente. Se ha informado de una supuesta cantidad de más de 44 millones de filas de datos en bruto; sin embargo, el número de filas en bruto no equivale al número de personas únicas. El historial de transacciones, los registros duplicados, las múltiples filas de un mismo usuario o las distintas tablas de la exportación de datos pueden aumentar el volumen de filas en bruto.

La fecha del incidente debe registrarse como noviembre de 2022, y la fecha de incorporación al sistema debe mantenerse como enero de 2024. Si se muestra la fecha de una actualización técnica anterior o de una importación masiva como fecha de la filtración, los usuarios podrían pensar que esta ocurrió en 2025 o 2026. Esta confusión se ha resuelto en el presente registro: la fecha de la filtración es el 1 de noviembre de 2022, la fecha verificada de incorporación al índice es el 27 de enero de 2024 y el número de direcciones de correo electrónico únicas afectadas se sitúa en 5 970 416. El contexto de la empresa también debe actualizarse para indicar Indonesia y los servicios de energía y pago de combustible.

El primer grupo de riesgo lo forman las personas que han abierto una cuenta de MyPertamina y han utilizado su correo electrónico y su teléfono para pagar combustible o realizar operaciones de fidelización. Cuando el nombre, el número de teléfono, la dirección y el contexto de compra de estas personas aparecen juntos, las llamadas falsas de atención al cliente pueden resultar más convincentes. El atacante puede inducir al usuario a hacer clic en un enlace o a proporcionar más información personal mediante mensajes sobre subsidios para combustible, verificación de pagos, puntos de recompensa, promociones o renovación de la cuenta.

El segundo grupo de riesgo lo forman las personas que utilizan el mismo número de teléfono para servicios bancarios, billeteras electrónicas, entregas y servicios públicos. El número de teléfono y la fecha de nacimiento pueden utilizarse como información auxiliar que facilite las conversaciones de verificación de identidad en algunos servicios. El tercer grupo de riesgo lo forman los empleados que abren una cuenta personal de MyPertamina con su dirección de correo corporativo. Esta coincidencia no implica acceso directo al sistema de la empresa; sin embargo, el riesgo de seguridad aumenta si se utiliza el nombre real, el número de teléfono o el contexto de la dirección del empleado en mensajes de phishing dirigido.

Si usted figura en el registro de MyPertamina, primero debe revisar con atención los mensajes que reciba por correo electrónico o en su teléfono sobre combustible, pagos, puntos de recompensa, subsidios o verificación de la cuenta. En lugar de iniciar sesión mediante el enlace del mensaje, utilice la dirección oficial conocida o la aplicación móvil del servicio. No comparta números de identificación personal, fechas de nacimiento, direcciones, códigos de un solo uso ni información de pago en llamadas que reciba. Los equipos legítimos de atención al cliente no deberían solicitar códigos de seguridad.

Aunque no se haya confirmado que la contraseña se filtró, adopte medidas de seguridad sólidas para las cuentas importantes que utilicen la misma dirección de correo electrónico. Active la autenticación multifactor en sus cuentas de correo electrónico, billeteras electrónicas y servicios bancarios, de entregas y públicos; compruebe también los números de teléfono y las direcciones de correo de recuperación. Cierre las sesiones sospechosas, elimine los dispositivos que no reconozca y borre de los servicios las direcciones o los números de teléfono antiguos. A partir de ahora, considere que su fecha de nacimiento y su dirección son datos fáciles de adivinar y no los utilice en contraseñas ni PINs.

La filtración de MyPertamina demuestra que los datos personales distintos de la contraseña también tienen implicaciones de seguridad a largo plazo. Adquiera el hábito de proporcionar la menor cantidad posible de datos en cada servicio. Deje en blanco los campos innecesarios, como el número de teléfono, la dirección o la fecha de nacimiento; siempre que sea posible, utilice el enmascaramiento del correo electrónico, direcciones de contacto separadas y preferencias de notificación específicas para cada servicio. Una vez que los datos personales entran en circulación, no es posible recuperarlos por completo; por tanto, la principal defensa consiste en evitar que los mismos datos se utilicen como única clave de seguridad en distintas cuentas.

Los campos de historial de compras, teléfono y dirección no solo tienen valor comercial; cuando se obtienen de forma indebida, se convierten en un perfil sensible que facilita el fraude dirigido. Las empresas deben evitar recopilar campos innecesarios, eliminar periódicamente los registros antiguos, capacitar a sus equipos de atención al cliente para afrontar intentos de ingeniería social y vigilar sin demora los accesos sospechosos a los datos.

Dado que el registro no contiene contraseñas, la primera medida no debe limitarse a cambiar la contraseña. Conviene extremar la precaución ante posibles llamadas, mensajes y promociones falsos que podrían utilizar números de teléfono, direcciones, fechas de nacimiento e información de compras.

El orden adecuado es reforzar primero la seguridad del correo electrónico y del teléfono y, después, comprobar la configuración de recuperación de las cuentas de billeteras electrónicas y servicios bancarios, de entregas y públicos. Revise los inicios de sesión que no reconozca en los servicios que utilicen la misma dirección de correo que MyPertamina y elimine la información personal desactualizada de las cuentas que ya no necesite. Si utiliza un correo corporativo, comparta este resultado con el equipo de seguridad; por parte de la empresa, deben implementarse la supervisión del dominio, las alertas de inicios de sesión de riesgo y las comprobaciones del nivel de concienciación de los empleados.