Filtración de datos de QuestionPro

Las categorías de datos validadas son direcciones de correo electrónico, direcciones IP, detalles del agente de usuario del navegador y resultados de encuestas. El impacto de los resultados depende de cada encuesta: las opiniones habituales sobre productos pueden conllevar un riesgo limitado, mientras que las respuestas que identifican a una persona o revelan preferencias privadas pueden facilitar fraudes más dirigidos. Las contraseñas, las tarjetas de pago y los documentos de identidad emitidos por el Estado no son categorías validadas en este registro, por lo que no debe darse por hecho que quedaron expuestos. Combinar una dirección de correo electrónico, una dirección IP y detalles del navegador puede ayudar a un atacante a preparar invitaciones convincentes para participar en investigaciones, avisos falsos de recompensas y mensajes de phishing personalizados.

La fecha registrada, el 21 de mayo de 2022, corresponde a la fecha de descarga declarada por la persona que afirmó haber obtenido el conjunto de datos; QuestionPro no confirmó públicamente esa fecha exacta ni el método técnico de acceso. El incidente salió a la luz con una afirmación sobre unos 100 GB de datos y más de 22 millones de direcciones de correo electrónico únicas. QuestionPro confirmó que había recibido un intento de extorsión y señaló que estaba investigando junto con las fuerzas del orden, pero su declaración inicial no confirmó que se hubiera producido una filtración de datos. Por ello, el conjunto de datos se clasificó inicialmente como incierto. Más adelante, personas que recibieron notificaciones confirmaron sus propios datos y su vínculo con QuestionPro, lo que respaldó el cambio del registro al estado de verificado. La cifra de 22 229 637 corresponde al número de direcciones de correo electrónico únicas del conjunto de datos; como algunas parecían haber sido generadas por la plataforma, no debe interpretarse como un recuento exacto de personas distintas. La verificación del conjunto de datos respalda su vinculación con el servicio, pero no equivale a una admisión pública de la filtración por parte de la empresa.

El conjunto de datos puede incluir no solo a personas con cuentas directas en QuestionPro, sino también a quienes respondieron una encuesta realizada por otra organización a través de la plataforma. Esta distinción es importante: una coincidencia de dirección no demuestra por sí sola que la persona fuera cliente de pago o administradora de la plataforma. Deben mantenerse alerta quienes participan en investigaciones, empleados que responden encuestas de compromiso laboral, clientes que completan cuestionarios sobre su experiencia, destinatarios de invitaciones a estudios de mercado y personas que envían formularios. Los usuarios de correo corporativo pueden ser objetivo de encuestas falsas para empleados o de mensajes que suplantan a su organización. Los metadatos públicos no clasifican el contenido detallado de cada respuesta, por lo que no debe suponerse que todos los registros contienen respuestas sobre salud, finanzas u otros temas sensibles.

Verifique al remitente antes de abrir enlaces en invitaciones inesperadas a encuestas, recompensas o investigaciones. Si un mensaje afirma proceder de un empleador, un cliente o una organización de investigación, confírmelo a través del sitio web oficial de la organización o de un contacto conocido, en lugar de utilizar los datos proporcionados en el mensaje. Active la autenticación multifactor en su correo electrónico y revise las sesiones activas y las reglas de reenvío. Las contraseñas no son una categoría validada en este incidente, por lo que el registro por sí solo no demuestra que todas las contraseñas quedaran expuestas; aun así, cambie de inmediato una contraseña si la introdujo en un formulario sospechoso o detecta una sesión que no reconoce. No continúe si una encuesta le pide realizar un pago, proporcionar un código de seguridad o instalar software de acceso remoto. Los usuarios corporativos deben informar a su equipo de seguridad sobre encuestas falsas para empleados y solicitudes inusuales de recopilación de datos.

Las organizaciones que crean encuestas deben evitar recopilar datos personales que no necesitan, ofrecer opciones de respuesta anónima o seudónima cuando sea posible y eliminar los resultados una vez transcurrido un plazo de conservación definido. Las invitaciones deben utilizar dominios de remitente verificables, incluir avisos de privacidad claros y ofrecer un método para que los participantes confirmen la solicitud a través de un canal independiente. Las cuentas de administrador deben exigir autenticación multifactor y acceso basado en roles, y deben supervisarse las exportaciones de gran volumen y los patrones de descarga inusuales. Los participantes deben proporcionar únicamente la información necesaria para la encuesta y evitar introducir contraseñas, números de identidad, datos de pago o información sobre otras personas en los campos de texto libre. Las organizaciones deben formar al personal con ejemplos de phishing dirigido que utilicen marcas reales, temas de encuestas y detalles técnicos. La minimización de datos, los límites de acceso y los plazos de conservación más cortos reducen el impacto duradero de cualquier exposición futura.

Compruebe su dirección de correo electrónico con LeakData para saber si coincide con el registro de QuestionPro o con otra filtración conocida. Una coincidencia no significa que su contraseña o sus datos de pago aparecieran en este incidente; indica que la dirección estaba presente en un conjunto de datos asociado a encuestas y al uso técnico. Dado que algunas direcciones pueden haber sido generadas por la plataforma, no interprete un resultado como un recuento exacto de personas ni como prueba de una cuenta directa en QuestionPro. Si hay una coincidencia, revise las invitaciones recientes a encuestas, los avisos de recompensas y los enlaces relacionados con investigaciones, y verifique al remitente a través de un canal oficial antes de abrir cualquier contenido sospechoso. Si una dirección corporativa está afectada, avise al equipo de seguridad y compruebe si sus compañeros han recibido mensajes similares. Mantenga la autenticación multifactor y la verificación cuidadosa de los enlaces como medidas de protección permanentes.