Filtración de datos de Pankhuri de 2022

Los principales campos del registro de Pankhuri son direcciones de correo electrónico, nombres de usuario, números de teléfono, información sobre el género, direcciones físicas y fechas de actividad de las cuentas. La presencia tanto del correo electrónico como del teléfono permite a los atacantes contactar con el usuario por varios canales. El nombre de usuario puede facilitar la vinculación de una misma persona con distintas cuentas en redes sociales o comunidades. La dirección física aporta contexto no solo para el phishing en línea, sino también para mensajes fraudulentos relacionados con entregas, membresías, eventos o servicios locales. La información sobre el género y el contexto de una plataforma orientada a las mujeres generan un riesgo adicional para la privacidad, relacionado con el contacto no deseado, el acoso o los mensajes de estafa más personalizados.

Un aspecto que requiere especial atención en este caso es que el riesgo no debe considerarse bajo aunque el registro no incluya contraseñas. Incluso sin ellas, la información de contacto real y el contexto del perfil pueden hacer más convincentes los mensajes, como falsas notificaciones de soporte, invitaciones a cursos, anuncios de la comunidad, solicitudes de actualización de cuentas o instrucciones de pago. Los usuarios no deben hacer clic directamente en los enlaces de los mensajes que reciban, deben comprobar la actividad de sus cuentas a través de dominios conocidos y no deben compartir información personal en solicitudes de verificación recibidas por teléfono. En los mensajes que incluyan la dirección, también deben considerarse sospechosas las solicitudes de pago o de documentos adicionales con el pretexto de envíos, eventos, membresías o campañas.

Los correos electrónicos personales utilizados en plataformas sociales y educativas como Pankhuri pueden coincidir en ocasiones con correos de trabajo o estar vinculados a identidades profesionales. La presencia del teléfono, la dirección y el nombre de usuario de un empleado en un mismo conjunto de datos puede hacer más convincentes los engaños dirigidos a cuentas corporativas que simulan comunicaciones de recursos humanos, invitaciones a eventos, inscripciones en cursos o mensajes del servicio de asistencia. Las organizaciones deben considerar estos registros no solo como una filtración de contraseñas, sino también como una exposición de datos personales que aumenta el riesgo de ingeniería social. Especialmente en los procesos que implican verificación por SMS, autenticación ante el servicio de asistencia y confirmación de direcciones, no debe concederse una aprobación basándose en un único dato.

Para los usuarios, la prioridad es revisar la configuración de seguridad de la cuenta de Pankhuri o de otras cuentas creadas con la misma combinación de correo electrónico y teléfono. Debe activarse la autenticación de dos factores en la cuenta de correo electrónico, no deben compartirse con nadie los códigos de un solo uso enviados al número de teléfono y los perfiles públicos de las cuentas en redes sociales no deben contener detalles innecesarios. Cuando la dirección física pueda haber quedado expuesta, los mensajes sobre entregas y membresías deben examinarse con especial cuidado. Aunque un mensaje que contenga una dirección parezca legítimo, si incluye un enlace para realizar un pago, subir documentos o verificar una cuenta, el trámite debe confirmarse por un canal independiente.

Este registro se ha clasificado como de alto riesgo porque la combinación de información de contacto, dirección y contexto de la comunidad permite preparar intentos de ingeniería social adaptados a cada usuario. En cambio, no se ha ampliado la lista de campos de datos con afirmaciones sin respaldo: las contraseñas, las tarjetas de pago, las fechas de nacimiento y los datos de identificación oficial no se han incluido entre las principales categorías de datos de este registro. Los usuarios que busquen información sobre filtraciones de datos de Pankhuri deben poder ver rápidamente en esta página qué información puede haberse visto afectada, qué afirmaciones no se han añadido al registro y qué medidas de seguridad deben priorizarse. Lo más adecuado es reforzar la seguridad del correo electrónico y del teléfono, actuar con cautela ante los mensajes que contengan direcciones y realizar las gestiones de las cuentas únicamente por canales conocidos.

La diferencia más importante que el usuario puede observar al evaluar un registro de Pankhuri es que este incidente genera riesgos principalmente por la información de contacto, la dirección y el contexto del perfil, más que por un impacto directo en la seguridad de las contraseñas. Por tanto, al realizar una revisión de seguridad, no solo debe tenerse en cuenta la contraseña de la cuenta, sino también, de forma conjunta, las llamadas recibidas, los mensajes que contengan direcciones y las invitaciones que lleguen por redes sociales y parezcan familiares.