Filtración de datos de ParkMobile

Las categorías de datos validadas son direcciones de correo electrónico, nombres, números de teléfono, matrículas de vehículos, hashes bcrypt de contraseñas, direcciones físicas y datos de vehículos. Las direcciones físicas solo figuraban para un pequeño porcentaje de los usuarios, mientras que los datos de vehículos incluían un alias cuando se había proporcionado uno. Las contraseñas no estaban en texto sin cifrar; los valores expuestos eran hashes bcrypt a los que se había añadido un valor de sal. Bcrypt ralentiza los intentos de adivinar contraseñas sin conexión, pero no elimina los riesgos de las contraseñas débiles o cortas. Combinar información de correo electrónico, teléfono, matrícula y vehículo puede dar mayor credibilidad a mensajes falsos sobre multas de estacionamiento, pagos, registro de vehículos o asistencia. La investigación oficial indicó que no se había accedido a datos de tarjetas de crédito ni al historial de transacciones de estacionamiento, y que el servicio no recopilaba números de la Seguridad Social, números de permisos de conducir ni fechas de nacimiento.

ParkMobile afirmó que en marzo de 2021 tuvo conocimiento de un incidente de ciberseguridad vinculado a una vulnerabilidad en software de terceros y que la subsanó rápidamente. La empresa emitió un aviso inicial el 26 de marzo, contrató a especialistas externos en seguridad y notificó a las fuerzas del orden. Su investigación posterior confirmó el acceso a información básica de los usuarios y a hashes de contraseñas. Más adelante, los datos de aproximadamente 21 millones de clientes se ofrecieron en un foro delictivo y luego se redistribuyeron ampliamente; el conjunto de datos validado contiene 20 949 825 registros únicos de cuentas. Los campos de contraseña contenían hashes bcrypt, y la empresa afirmó que los protegía mediante tecnologías de generación de hashes y adición de valores de sal. Un análisis independiente detectó direcciones postales en algunos registros y matrículas asociadas a varios vehículos.

Las personas que crearon una cuenta antes de marzo de 2021 a través de ParkMobile o de una aplicación de marca blanca con la marca de una ciudad o de un operador se ven directamente afectadas. Quienes reutilizaron la misma contraseña en otros servicios, eligieron una contraseña corta o predecible, o mantuvieron desactivada la autenticación multifactor en su correo electrónico corren un mayor riesgo de que alguien tome el control de sus cuentas. Una matrícula y un alias de vehículo aportan un contexto convincente a mensajes falsos sobre multas de estacionamiento, ampliaciones del tiempo de estacionamiento o reembolsos. Los usuarios cuyo número de teléfono figuraba en los datos pueden recibir intentos de suplantación de identidad mediante mensajes de texto o llamadas, mientras que el grupo más reducido cuyas direcciones postales estaban presentes puede recibir facturas o correspondencia física fraudulentas. Una matrícula por sí sola no revela la ubicación de un vehículo en tiempo real, y el historial de transacciones de estacionamiento no estaba entre los datos a los que se accedió. Aunque falte un nombre o una dirección, otros campos validados pueden haber quedado expuestos.

Si reutilizó en otros servicios su contraseña de ParkMobile de 2021, cambie de inmediato las contraseñas de esas cuentas. Genere una contraseña larga y única para cada servicio, guárdela en un gestor de contraseñas de confianza y active la autenticación multifactor, especialmente en el correo electrónico. Si su cuenta de ParkMobile sigue activa, utilice la aplicación o el dominio oficiales para revisar el método actual de inicio de sesión y los datos de recuperación; no inicie sesión desde un enlace recibido en un mensaje. Compruebe dentro de la aplicación cualquier multa de estacionamiento, solicitud de ampliación del tiempo, petición de verificación del vehículo, actualización de matrícula o aviso de reembolso que no esperaba. Aunque en este incidente no se accedió a datos de tarjetas, los delincuentes aún pueden aprovecharlo para dirigir a los usuarios a páginas de pago falsas; no facilite ningún código de seguridad ni contraseña sin realizar una verificación independiente. Si detecta accesos sospechosos, cierre las sesiones activas y sustituya las contraseñas derivadas del mismo patrón.

Usar una contraseña diferente para cada servicio en línea evita que recuperar una contraseña a partir de un solo hash bcrypt permita acceder a cuentas de otros servicios. Un gestor de contraseñas facilita el uso de contraseñas largas y aleatorias, mientras que la autenticación multifactor evita que una contraseña expuesta sea suficiente por sí sola para acceder. Mantenga actualizadas las opciones de recuperación del correo electrónico, active las alertas de nuevas sesiones y revise las reglas de reenvío que no reconozca. Elimine los vehículos que ya no utiliza, las matrículas antiguas y los datos de contacto desactualizados de sus cuentas de servicios de movilidad, y cierre las cuentas que ya no necesite. Los servicios de estacionamiento y transporte deben mantener un inventario de los componentes de terceros, hacer un seguimiento de los parches y limitar el acceso, además de supervisar las exportaciones de gran volumen y las consultas inusuales. Los sistemas de contraseñas deben utilizar un valor de sal único para cada usuario, parámetros de coste adecuados y una política para volver a generar los hashes a medida que mejore el hardware.

Compruebe su dirección de correo electrónico con LeakData para saber si aparece en el registro de ParkMobile o en otra filtración conocida. Una coincidencia no significa que su tarjeta de crédito o su historial de estacionamiento hayan quedado expuestos; indica que la dirección figuraba en el conjunto de datos validado de cuentas. Actúe en función de las siete categorías de datos enumeradas y no dé por expuestos los campos que la investigación oficial excluyó. Si hay una coincidencia, determine si reutilizó en otros servicios la contraseña que usaba en 2021 y proteja primero el correo electrónico y las cuentas vinculadas a pagos. Revise los mensajes recientes sobre estacionamiento, matrículas, reembolsos y multas, y abra la aplicación oficial en lugar de seguir los enlaces incluidos en ellos. Mantenga como medidas de protección permanentes el uso de contraseñas únicas, la autenticación multifactor y la verificación independiente de los enlaces de pago sospechosos.