Filtración de datos de Pandabuy

Cuando el correo electrónico, el nombre, el teléfono, la dirección física y la dirección IP aparecen juntos, es posible identificar con un alto grado de certeza el perfil de compras de un usuario. En las compras transfronterizas a través de servicios como Pandabuy, los usuarios están acostumbrados a recibir mensajes sobre paquetes, aduanas, almacenes, devoluciones y actualizaciones de pagos.

Cuando se combinan campos como el nombre, el correo electrónico, el teléfono, la dirección, el nombre de usuario o la ubicación, los atacantes pueden preparar mensajes que aparenten proceder de un servicio con el que el usuario mantiene una relación real. Esta información por sí sola no implica necesariamente que alguien haya tomado el control de la cuenta; sin embargo, puede utilizarse para phishing, falsas solicitudes de soporte, notificaciones de entrega, verificaciones de cuentas y estafas personalizadas. El registro no enumera campos de contraseñas ni de datos completos de tarjetas de pago. Aun así, los campos de dirección y teléfono pueden utilizarse para enviar mensajes falsos sobre envíos, tasas aduaneras o cargos de almacén, así como enlaces falsos de devolución. La dirección IP también puede aportar credibilidad a las alertas técnicas de seguridad que se envíen al usuario.

La fecha del incidente figura como el 31 de marzo de 2024, con 1 348 407 direcciones de correo electrónico afectadas. Medios fiables especializados en seguridad informan de que los datos se compartieron en un foro e incluían campos como direcciones IP y físicas, nombres, números de teléfono y consultas sobre pedidos. Las categorías de datos que figuran actualmente son compatibles con este alcance.

Al explicar el alcance, no debe afirmarse que se hayan expuesto todos los detalles de los pedidos o la información de pago de cada usuario. El riesgo consiste en la combinación de información sobre compras y entregas con datos de contacto. El usuario debe verificar los mensajes por un canal independiente, especialmente los relacionados con envíos y aduanas.

Los usuarios en riesgo son quienes hayan abierto una cuenta, realizado un pedido o compartido una dirección de almacén o de envío a través de Pandabuy. Como las personas que compran en otros países están acostumbradas a recibir mensajes sobre aduanas, envíos y pagos, los ataques dirigidos pueden tener más éxito.

Los usuarios cuyos datos de teléfono y dirección estén actualizados pueden ser objeto de ataques mediante SMS, correo electrónico y llamadas. La dirección IP puede utilizarse en mensajes falsos de seguridad o de notificación de sesiones. Las personas que comparten sus compras de Pandabuy en comunidades de redes sociales también pueden correr el riesgo de que se vinculen sus perfiles.

Los usuarios cuya dirección de correo electrónico aparezca en el registro deben comprobar que utilizan una contraseña única en su cuenta de Pandabuy y cambiar la contraseña de cualquier cuenta de compras o pagos que use la misma. Los mensajes sobre envíos, aduanas, cargos de almacén o devoluciones deben verificarse a través del panel oficial.

En lugar de abrir directamente los enlaces recibidos, el usuario debe iniciar sesión desde la dirección web conocida o la aplicación oficial del servicio correspondiente. Que alguien que le llama conozca su nombre, correo electrónico, dirección o información sobre sus pedidos o su perfil no demuestra que sea de confianza. No deben compartirse códigos de verificación de un solo uso, datos de tarjetas de pago ni contraseñas de cuentas en ninguna conversación de soporte.

A largo plazo, adoptar el hábito de utilizar un gestor de contraseñas, contraseñas únicas y autenticación de dos factores, así como eliminar de las cuentas la información personal innecesaria, reduce el riesgo. Reutilizar la misma dirección de correo electrónico en distintas plataformas facilita la combinación de datos de diferentes filtraciones; por ello, puede considerarse el uso de una dirección de correo electrónico distinta o un alias para las cuentas críticas.

En las cuentas de compras transfronterizas, deben eliminarse las direcciones antiguas, los números de teléfono que ya no se utilicen y las comunicaciones innecesarias sobre pedidos. Los usuarios deben hacer el seguimiento de los pagos y envíos únicamente desde las cuentas oficiales y no deben confiar en solicitudes de soporte que lleguen a través de contactos en redes sociales.

La consulta en LeakData indica si la dirección de correo electrónico consultada aparece en este registro. Un resultado positivo no significa necesariamente que todos los campos de datos pertenezcan con certeza a ese usuario; sin embargo, constituye una advertencia suficiente para tomar precauciones. Un resultado negativo solo indica que no hay coincidencias en este conjunto de datos y no descarta la posibilidad de aparecer en otras filtraciones.

Un resultado positivo aumenta el riesgo de fraude relacionado con compras y entregas. Un resultado negativo significa que no hay coincidencias en este registro; la misma dirección de correo electrónico debe comprobarse por separado en otros registros de comercio electrónico.