No es Acxiom

Las categorías de datos verificadas son direcciones de correo electrónico, direcciones IP, nombres, números de teléfono y direcciones físicas. Una dirección de correo electrónico puede vincularse con cuentas en línea; un número de teléfono, con el contacto directo; una dirección física, con una identidad; y una dirección IP, con información geográfica o de red. La presencia conjunta de estos campos facilita a los atacantes la preparación de mensajes y llamadas personalizados.

Las contraseñas, los datos de tarjetas de pago y cuentas bancarias, los números de identificación oficial, los datos de salud y el contenido de mensajes privados no figuran entre los campos de datos verificados. Por tanto, el incidente no debe interpretarse directamente como una necesidad de cambiar la contraseña de la cuenta. El riesgo se concentra más en los perfiles de marketing, la vinculación de identidades, las comunicaciones falsas de atención al cliente, los pretextos relacionados con entregas y los intentos de estafa telefónica.

El alcance se limita al conjunto de datos fechado el 21 de junio de 2020 y a 51 730 831 cuentas afectadas. Se ha verificado que la incorporación del registro y su última modificación corresponden al 22 de noviembre de 2022. El campo de dominio se deja vacío porque el incidente no está vinculado a una cuenta de un sitio web concreto ni a un sistema empresarial verificado. El indicador de verificación está desactivado y el campo de fuente pública también se utiliza para reflejar este estado.

Debido al riesgo de atribución incorrecta, la descripción no repite afirmaciones no confirmadas sobre la titularidad empresarial de los datos. La denominación se utiliza para señalar que el conjunto de datos no pertenece a una empresa. Lo importante para el usuario es que, aunque el origen de los datos sea incierto, los campos personales enumerados pueden utilizarse para cometer fraudes y vincular datos con una identidad.

El primer grupo en riesgo está formado por personas cuya dirección de correo electrónico, número de teléfono y dirección física son visibles. Estos usuarios pueden ser objeto de mensajes falsos sobre entregas, suscripciones, atención al cliente, alertas bancarias o promociones. La información sobre el nombre y la dirección aporta credibilidad a los mensajes; el número de teléfono puede utilizarse directamente para cometer fraudes mediante llamadas y SMS.

El segundo grupo está formado por personas que han utilizado la misma dirección de correo electrónico durante muchos años en distintos servicios. Al cruzar este conjunto de datos con otras filtraciones, un atacante puede estimar con mayor precisión la identidad de la persona, sus canales de comunicación y su posible ubicación, incluso si no se encuentra la contraseña. El riesgo de elaboración de perfiles aumenta cuando estos datos se combinan con el historial de direcciones IP, la dirección física y el número de teléfono.

Los usuarios que encuentren una coincidencia deben prestar atención, en primer lugar, a los mensajes inesperados que reciban por correo electrónico y por teléfono. Los mensajes que parezcan referirse a una entrega, una verificación de cuenta, una renovación de suscripción, una alerta de pago o una solicitud de asistencia deben verificarse a través de un segundo canal. No se debe facilitar la dirección, los datos de tarjetas, códigos de un solo uso ni información de recuperación de cuentas a personas desconocidas que llamen por teléfono.

Aunque no se haya verificado la presencia de contraseñas en este incidente, la cuenta de correo electrónico es un elemento fundamental para la seguridad. Los usuarios deben utilizar una contraseña segura y exclusiva para su cuenta de correo electrónico, activar la autenticación multifactor y comprobar las reglas de reenvío y las opciones de recuperación. Dada la presencia de direcciones y números de teléfono, conviene extremar la precaución ante las notificaciones falsas sobre envíos y servicios públicos.

El objetivo a largo plazo es reducir la dispersión innecesaria de datos personales permanentes entre distintos servicios. Datos como el número de teléfono, la dirección física y los datos de nacimiento solo deben compartirse en plataformas donde sean realmente necesarios. Los usuarios deben cerrar las cuentas antiguas, reducir los campos de sus perfiles que sean visibles públicamente y considerar el uso de distintas direcciones de correo electrónico para diferentes fines.

La lección fundamental para las organizaciones es que, cuando el origen de los conjuntos de datos deja de estar claro, el riesgo de atribución errónea puede socavar la confianza de los usuarios. Los inventarios de datos, los plazos de conservación, el intercambio de datos con terceros y el control de acceso deben revisarse periódicamente. Para los usuarios, las defensas más eficaces son verificar las comunicaciones sospechosas, reforzar la seguridad de la cuenta de correo electrónico y reducir la cantidad de datos personales que comparten.

Si un usuario encuentra una coincidencia, debe evaluar primero qué campos aparecen en el registro. La dirección de correo electrónico puede utilizarse para enviar mensajes de phishing; el número de teléfono, para realizar llamadas falsas; la dirección física, para vincular datos con una identidad; y la dirección IP, para obtener información adicional con la que elaborar un perfil. Cuando estos campos se vinculan a una misma persona, los mensajes fraudulentos se vuelven más personalizados.

Desde la perspectiva del usuario, el incidente «No es Acxiom» no debe ignorarse, aunque su origen no esté verificado y se haya atribuido erróneamente. Incluso si el origen de los datos no está claro, la combinación de nombre, correo electrónico, teléfono y dirección genera un riesgo real. Cuando el usuario refuerza la seguridad de su correo electrónico, verifica los mensajes sospechosos a través de un segundo canal y reduce la visibilidad innecesaria de sus datos personales, el riesgo a largo plazo derivado de este incidente disminuye significativamente.