Filtración de datos de Neiman Marcus de 2024

El gran conjunto de datos validado incluía direcciones de correo electrónico, nombres, números de teléfono, fechas de nacimiento, direcciones físicas, direcciones IP, información sobre compras y datos parciales de tarjetas de pago. Combinados, estos campos pueden ayudar a un atacante a dar credibilidad a un mensaje fraudulento. Un nombre, los datos de contacto y el historial de compras pueden utilizarse para imitar avisos de entrega, devolución, atención al cliente o pago con un nivel de detalle personal que no tienen los mensajes de spam genéricos.

Se informó de la exposición de datos parciales de tarjetas, pero estos no bastaban por sí solos para realizar una compra. Aun así, pueden aumentar el riesgo de recibir mensajes convincentes que soliciten datos de la cuenta o de la tarjeta. Las notificaciones oficiales a los consumidores también indicaron que, en algunos casos, se habían expuesto números de tarjetas de regalo sin sus códigos PIN. Estas diferencias no significan que se expusieran los mismos campos para todas las personas; el impacto individual depende del historial de la cuenta y de la información almacenada en el momento del incidente.

Se informó de un acceso no autorizado durante el periodo de abril a mayo de 2024, y el incidente se detectó en mayo. La cifra de 31 152 842 representa direcciones de correo electrónico únicas presentes en un conjunto de datos validado. No es un recuento de filas de pedidos, operaciones de pago ni perfiles individuales completos de clientes. Una persona puede aparecer en más de una transacción, mientras que algunas filas pueden no contener ninguna dirección de correo electrónico.

Las 64 472 personas que recibieron notificaciones formales representan una población distinta y no deben equipararse a la cifra de direcciones de correo electrónico únicas. Las notificaciones también indicaban que los campos variaban según la persona. Por ese motivo, las ocho categorías de datos que se enumeran aquí se limitan a los campos confirmados en el gran conjunto de datos validado; no se presupone que los detalles de las notificaciones individuales sean aplicables a todo el mundo. Mantener separadas estas cifras evita subestimar o sobrestimar el riesgo.

Las personas que realizaron compras en línea, facilitaron datos de entrega o de contacto, o utilizaron tarjetas de regalo pueden enfrentarse a intentos de fraude más convincentes. La información sobre compras puede servir para elaborar mensajes que imiten comunicaciones sobre productos, entregas, devoluciones o programas de fidelización. Cuando un nombre se combina con un número de teléfono y una dirección física, un atacante puede personalizar más el mensaje. Por tanto, que el nombre del remitente resulte familiar no basta para confiar en una solicitud.

El riesgo también aumenta para quienes hayan reutilizado la misma contraseña en otro servicio. Si la cuenta de correo electrónico, un servicio de pago o una cuenta de tienda no tienen una contraseña segura y exclusiva, los datos de contacto expuestos pueden convertirse en un punto de partida para nuevos intentos de inicio de sesión. Las cuentas de cliente antiguas también merecen atención: una cuenta que ya no se utiliza puede conservar datos de contacto actuales o preferencias de pago.

Cambie de inmediato las contraseñas reutilizadas en una cuenta de tienda relacionada o en cualquier otro servicio. Elija una contraseña larga y única para cada cuenta y active la autenticación multifactor. Un gestor de contraseñas reduce la probabilidad de reutilizar una contraseña. Revise también las direcciones de correo electrónico y los números de teléfono destinados a la recuperación de cuentas; proteja la cuenta si detecta algún cambio que no reconozca.

Revise la actividad de sus tarjetas y de sus cuentas bancarias, de tarjetas de regalo y de tiendas. Póngase en contacto con el proveedor correspondiente a través de un canal conocido si detecta una transacción, un cambio del destino de entrega, un cambio de dirección o un movimiento en el saldo de una tarjeta de regalo que no reconozca. No siga enlaces incluidos en mensajes urgentes de pago o verificación recibidos por correo electrónico, mensaje de texto o teléfono. Que quien llama o envía el mensaje conozca datos personales no demuestra que la solicitud sea legítima.

Una estrategia más sólida a largo plazo consiste en utilizar una contraseña única y autenticación multifactor para cada servicio, en lugar de depender únicamente de cambios periódicos de contraseña. Proteja especialmente bien la cuenta de correo electrónico principal, ya que los mensajes para restablecer contraseñas suelen enviarse a ella. Siempre que sea posible, utilice una aplicación de autenticación o una llave de seguridad física, y guarde los códigos de recuperación sin conexión en un lugar de acceso limitado.

Elimine de sus cuentas de compras las direcciones antiguas, las preferencias de pago y las tarjetas de regalo sin usar cuando ya no sean necesarias. Revisar periódicamente los informes de crédito, la actividad bancaria y las alertas de las cuentas puede ayudar a detectar antes los indicios de uso indebido de la identidad. No evalúe un mensaje únicamente por su redacción o por el nombre que se muestra como remitente; acceda por su cuenta al sitio web oficial o utilice un canal de atención conocido para verificar una solicitud.

Busque la dirección de correo electrónico en el buscador de filtraciones de datos. Una coincidencia significa que esa dirección aparece en el conjunto de datos validado; por sí sola, no demuestra que alguien haya tomado el control de una cuenta activa de la tienda ni que se haya realizado un cargo en una tarjeta. Aun así, una coincidencia es una señal útil para revisar las contraseñas, activar la autenticación multifactor y vigilar la actividad de las cuentas.

Si aparece una coincidencia, dé prioridad a las cuentas importantes vinculadas a la misma dirección de correo electrónico: el buzón principal, los servicios de pago, las cuentas de compras y otros medios de recuperación de cuentas. Póngase en contacto sin demora con el proveedor correspondiente a través de su canal oficial de atención si detecta un inicio de sesión, un cambio de dirección, un pedido o una consulta de crédito que no reconozca. Estas medidas reducen la exposición actual y ayudan a detectar con rapidez un uso indebido posterior.