Filtración de datos de Poshmark

Los tipos de datos confirmados en la filtración de Poshmark son direcciones de correo electrónico, información sobre nombres, nombres de usuario, información de género, ubicación geográfica y contraseñas. Que una dirección de correo electrónico aparezca junto a un nombre de usuario facilita que los atacantes busquen la cuenta en distintas plataformas. Los datos de ubicación, como el nombre, el género y la ciudad, pueden hacer más convincentes los mensajes de soporte falsos, las imitaciones de notificaciones de compras y los intentos de estafa con el pretexto de una entrega.

Aunque las contraseñas están protegidas con hashes de bcrypt, el riesgo no desaparece por completo. Las contraseñas débiles o reutilizadas pueden dar lugar a intentos de toma de control de cuentas al combinarse con datos de otras filtraciones. Además, en plataformas de compras sociales como Poshmark, la combinación de nombres de usuario, información del perfil e intereses de compra aumenta los riesgos de phishing dirigido, mensajes de venta falsos, notificaciones de devolución falsas e ingeniería social relacionada con impagos.

La fecha registrada de la brecha es mayo de 2018 y el incidente se anunció en 2019. El conjunto verificado de cuentas contiene 36 395 491 registros de usuarios. Las notificaciones sobre el incidente indicaron que la información financiera y los datos de direcciones físicas no se vieron afectados; sin embargo, sí se vieron afectados datos importantes para la seguridad de las cuentas, como los perfiles de usuario, los correos electrónicos, la información sobre la ciudad, las preferencias y los hashes de las contraseñas.

Las categorías de datos de esta página se limitan a las del conjunto principal de cuentas que se puede verificar: direcciones de correo electrónico, información de género, ubicaciones geográficas, nombres, contraseñas y nombres de usuario. Los detalles cuya presencia no se ha confirmado en cada cuenta no se presentan como campos de datos principales. De este modo, usted puede identificar claramente qué medidas debe tomar para proteger su cuenta, sin explicaciones innecesarias o exageradas sobre los riesgos.

El principal grupo de riesgo está formado por compradores con una cuenta de Poshmark, vendedores, usuarios que compran con su perfil social y personas que utilizan el mismo nombre de usuario en varias plataformas. En el caso de los vendedores con una cuenta en la plataforma, la combinación del nombre de usuario, la ciudad, la información del perfil y el correo electrónico puede utilizarse en mensajes con pedidos falsos, solicitudes de soporte falsas o pretextos de verificación de cuentas. Para los compradores, destacan los intentos de phishing relacionados con descuentos, devoluciones, envíos y seguridad de la cuenta.

Las personas que utilizan la misma contraseña en distintos sitios de compras o cuentas de correo electrónico corren un mayor riesgo. Aunque los hashes de las contraseñas sean robustos, los atacantes pueden iniciar intentos de adivinar las contraseñas al relacionar el mismo correo electrónico y nombre de usuario con otros conjuntos de datos. Para los usuarios que han vinculado su cuenta de redes sociales a su perfil de Poshmark, el riesgo de vinculación entre perfiles personales y de mensajes falsos puede aumentar aún más.

Debe cambiar de inmediato las contraseñas de todas las cuentas que utilicen la misma contraseña que Poshmark o una similar. La nueva contraseña debe ser única, larga y aleatoria, y debe almacenarse en un gestor de contraseñas. Dé prioridad a la cuenta de correo electrónico, otras plataformas de compras, las cuentas de redes sociales y los servicios que contienen información de pago. Elegir la contraseña anterior con pequeñas modificaciones no ofrece protección suficiente.

Active la autenticación multifactor en las cuentas que la admitan. En Poshmark y otras plataformas de compraventa similares, revise el correo electrónico registrado, el historial de sesiones, las cuentas de redes sociales vinculadas, las preferencias de notificación y la información del perfil. Antes de hacer clic en cualquier enlace de mensajes que utilicen como pretexto envíos, devoluciones, verificaciones de vendedores, problemas de pago o la seguridad de la cuenta, compruebe el dominio. Si detecta una sesión sospechosa o una notificación inesperada de restablecimiento de contraseña, cierre las sesiones y cambie la contraseña.

El incidente de Poshmark demuestra que, al evaluar la seguridad de las cuentas de compras y de plataformas de comercio social, no solo debe considerarse la información de pago, sino también los riesgos de vinculación entre perfiles y de phishing. Utilice contraseñas diferentes para las cuentas de compras, redes sociales, correo electrónico y servicios financieros; siempre que sea posible, opte por direcciones de correo electrónico distintas. Evitar incluir información personal innecesaria en el perfil y revisar periódicamente las conexiones con cuentas de redes sociales reduce el riesgo a largo plazo.

En el caso de las personas con una cuenta de vendedor, el nombre de la marca, la ciudad, el nombre de usuario y los canales de comunicación pueden ser más visibles. Por ello, es necesario adoptar el hábito de revisar los mensajes de soporte, los enlaces a productos y las comunicaciones con compradores para detectar posibles intentos de phishing. En el ámbito empresarial, la vigilancia de contraseñas filtradas y la formación en seguridad que evitan que los empleados reutilicen las contraseñas de sus cuentas personales de compras en cuentas de trabajo ofrecen una protección duradera.

Si aparece un resultado de Poshmark en la comprobación de Seguridad de la cuenta, significa que la dirección de correo electrónico asociada está incluida en el conjunto verificado de cuentas vinculado a la filtración de datos de Poshmark de 2018. Este resultado no significa que su cuenta actual de Poshmark esté comprometida hoy; sin embargo, indica que el correo electrónico, el nombre de usuario, la información del perfil y el hash de la contraseña utilizados en el pasado podrían haberse usado de forma indebida. Si ha utilizado la misma contraseña en otras cuentas, no debe demorar las medidas de protección.

El primer paso es proteger su cuenta de correo electrónico y, después, actualizar todas las cuentas que utilicen la misma contraseña o una similar. Si detecta un inicio de sesión sospechoso, un dispositivo que no reconoce, un mensaje de venta inesperado, una solicitud de soporte falsa o una notificación de restablecimiento de contraseña, debe iniciar una revisión de seguridad de la cuenta correspondiente. Eliminar por completo la reutilización de contraseñas, activar la autenticación multifactor y adoptar el hábito de comprobar los nombres de dominio en los mensajes de plataformas de compraventa son las medidas más eficaces que puede tomar ante un resultado de Poshmark.