BVD 2021: exposición de datos empresariales públicos

Las categorías de datos verificadas incluyen fechas de nacimiento, direcciones de correo electrónico, cargos, nombres, números de teléfono y direcciones físicas. Estas últimas se consideraron en gran medida ubicaciones de empresas, pero los nombres, cargos, números de teléfono y direcciones de correo electrónico presentes en la misma colección pueden aportar un contexto útil para los intentos de fraude. Un mensaje de un proveedor, una solicitud de un directivo, un contacto de contratación o una llamada de asistencia realizados en nombre de una persona pueden parecer más creíbles si reflejan detalles reales de su entorno laboral.

Los identificadores persistentes, como la fecha de nacimiento, pueden aumentar el riesgo de suplantación de identidad e ingeniería social cuando se combinan con información profesional. Las direcciones de correo electrónico pueden ayudar a los atacantes a seleccionar objetivos para campañas de phishing, mientras que los números de teléfono directos pueden utilizarse para cometer fraudes mediante llamadas o ejercer presión a través de mensajes. Las contraseñas, los nombres de usuario, los datos de tarjetas de pago, los detalles de sesión y los secretos de autenticación no figuran entre los campos verificados. Esta limitación es esencial para interpretar lo que una coincidencia puede y no puede indicar.

Se considera que el incidente ocurrió alrededor de agosto de 2021. Los informes hacen referencia a un conjunto de datos más amplio, de cientos de gigabytes y cientos de millones de filas sin procesar; el volumen de estas filas no equivale a un recuento de personas, direcciones de correo electrónico o cuentas de usuario únicas. La cifra pública es de 27 917 714 direcciones de correo electrónico únicas. No indica cuántas veces apareció una dirección, si coincidía con más de un campo ni si la información empresarial asociada siguió vigente con el paso del tiempo.

Se verificó que el material era una colección de información empresarial pública en poder de un cliente. No hay pruebas de una intrusión no autorizada en la infraestructura del proveedor del servicio, ni de que quedaran expuestos los entornos de los clientes de la organización matriz. Por esta distinción, es inexacto calificar el incidente como una brecha directa en los sistemas del proveedor. Tampoco puede concluirse que cada dirección de correo electrónico apareciera junto con todos los campos enumerados ni que toda la información estuviera actualizada en el momento de su publicación.

Los empleados y directivos cuyo correo electrónico laboral, número de teléfono directo, cargo o dirección física aparece en la colección son objetivos más visibles. Los atacantes pueden utilizar esos campos para elaborar solicitudes de pago que imiten la jerarquía interna, correspondencia falsa de proveedores, contactos de recursos humanos o llamadas que parezcan proceder de un equipo de asistencia. Las personas que trabajan en finanzas, compras, nóminas o asistencia a la dirección deben extremar la precaución, ya que los cargos pueden hacer más verosímiles las conjeturas sobre los procesos empresariales.

Una fecha de nacimiento combinada con un nombre y datos de contacto puede facilitar la vinculación de perfiles personales y profesionales. Incluso cuando un puesto, cargo o dirección de empresa anterior ya no está vigente, un atacante puede utilizarlo para generar confianza inicial. El riesgo para la organización no se limita a las personas incluidas en la colección; los equipos cercanos también pueden ser objeto de ataques mediante mensajes realistas y solicitudes falsas relacionadas con procesos de trabajo.

Verifique por un canal independiente cualquier solicitud inesperada de pago, cambio de datos bancarios, petición de compartir documentos o instrucción que parezca proceder de la alta dirección. Las direcciones de correo electrónico y los números de teléfono conocidos no demuestran que un mensaje sea auténtico. Ante solicitudes sensibles realizadas en nombre de una persona conocida, utilice un número de teléfono que ya conozca, una confirmación presencial o un canal de comunicación corporativo independiente.

Mantenga activada la autenticación multifactor para el correo electrónico laboral y preste atención a las advertencias sobre enlaces y archivos adjuntos sospechosos en los clientes de correo. En este caso no hay pruebas verificadas de datos de contraseñas, por lo que una contraseña no debe considerarse expuesta únicamente por una coincidencia. La protección general de las cuentas sigue requiriendo contraseñas seguras y únicas, y los mensajes sospechosos deben notificarse de inmediato al equipo de seguridad de la organización.

Las organizaciones deben revisar periódicamente los datos de contacto de empleados y directivos visibles en la web pública, eliminar los detalles innecesarios sobre fechas de nacimiento y números de teléfono directos, y limitar la exposición en línea de los puestos de alto riesgo a las necesidades empresariales legítimas. Los procesos críticos de pago, cambio de proveedor y gestión de documentos confidenciales deben exigir una doble aprobación y una confirmación por un canal independiente. Las políticas de autenticación de dominios de correo electrónico deben permanecer activas, y los empleados deben recibir formación para reconocer señales de suplantación de identidad en las comunicaciones.

Cada persona debe revisar sus perfiles profesionales y preferencias de contacto, retirar la información laboral desactualizada y, cuando sea posible, reducir los campos visibles para todo el mundo. Las frases de verificación compartidas por los equipos de asistencia técnica, recursos humanos y finanzas pueden dificultar que los atacantes se ganen la confianza con datos antiguos. Los equipos de seguridad pueden mejorar la calidad de sus defensas mediante ejercicios periódicos que evalúen los reportes de phishing y los escenarios de solicitudes de pago falsas.

Una consulta de una dirección de correo electrónico puede mostrar si aparece en esta colección de datos empresariales. Una coincidencia no demuestra que todos los campos enumerados aparecieran en la misma fila, que la información siga vigente ni que se haya accedido a una cuenta. El recuento representa identificadores de correo electrónico únicos y no debe interpretarse como un total de cuentas afectadas. Utilice el resultado para revisar sus hábitos de comunicación ante la posibilidad de un fraude dirigido.

Si aparece una coincidencia, evalúe con especial cuidado las solicitudes inesperadas que reciba por correo electrónico laboral, teléfono y perfiles profesionales. Los empleados deben avisar a su equipo de seguridad o de tecnologías de la información y reportar las solicitudes de pago, acceso o documentos que invoquen su nombre o cargo. La autenticación multifactor, las contraseñas únicas y las opciones de recuperación actualizadas siguen siendo importantes para proteger las cuentas personales. Estas medidas reducen el riesgo que genera la combinación de información pública.