Filtración de datos de RentoMojo

Los tipos de datos observados en este registro son fechas de nacimiento, direcciones de correo electrónico, información de género, números de identificación oficial, nombres, números de pasaporte, contraseñas, números de teléfono, registros de compras o alquileres y perfiles de redes sociales. Según la evaluación realizada, las contraseñas estaban almacenadas como hashes bcrypt; aun así, reutilizar contraseñas supone un riesgo. No se añadieron a la lista de categorías de datos campos sin verificar de tarjetas de pago, cuentas bancarias, mensajes privados, historiales médicos ni otros datos de perfil; solo se conservaron los campos respaldados por la evidencia.

Los documentos de identidad y el historial de alquileres pueden hacer que los mensajes falsos sobre créditos, depósitos, entregas o verificaciones de cuentas resulten muy convincentes. Una dirección de correo electrónico por sí sola supone un riesgo de recibir mensajes no deseados; si se combina con un número de teléfono, una dirección, una IP, una fecha de nacimiento, una contraseña, un documento de identidad oficial, un registro de soporte, información de un vehículo o una dirección física, resulta más fácil para un atacante crear un mensaje personalizado dirigido al usuario. La evaluación del riesgo se basó en este efecto combinado.

El alcance se verificó con el registro de clientes de RentoMojo fechado en abril de 2023. Se conservaron los campos confirmados y se excluyeron los no confirmados. El incidente no se combinó con conjuntos de datos de nombres similares, incidentes de la misma empresa ocurridos en otros periodos ni referencias incorrectas al sector.

El registro se limita al nombre de dominio rentomojo.com; no se añadieron campos sin verificar de cuentas financieras o tarjetas. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron en el contexto más acotado y preciso posible. Cuando existía incertidumbre, el indicador de verificación o el campo del sitio web se configuró en consecuencia; de este modo, no se presentó al usuario una atribución incierta de responsabilidad a la marca.

Entre los grupos de usuarios que podrían estar en riesgo se encuentran los clientes de India que alquilan muebles, electrodomésticos o productos similares a través de RentoMojo. Los usuarios cuyos datos coincidan con los del registro también deberían revisar otras cuentas en las que utilicen el mismo correo electrónico, número de teléfono, nombre de usuario o patrón de contraseña fuera del servicio afectado.

Los usuarios cuyos datos incluyan información de identidad y pasaporte deberían considerar elevado el riesgo de fraude y de uso indebido de su identidad. El riesgo de ingeniería social puede aumentar si existe un contexto relacionado con un correo electrónico corporativo, un foro de videojuegos, un registro de clientes de motocicletas, una aplicación de un centro comercial, una solicitud de soporte, una cuenta de alquiler, una lista de marketing o malware. Que ciertos detalles parezcan correctos por sí solos no es garantía de confianza.

Los usuarios afectados deberían cambiar su contraseña de RentoMojo y verificar por canales oficiales cualquier mensaje sobre entregas, depósitos o créditos que solicite identificación. Si el registro contiene un campo de contraseña, se deberían cambiar las contraseñas de todas las cuentas que utilicen la misma; si no contiene ese campo, la atención debería centrarse en los riesgos relacionados con el correo electrónico, el teléfono, las notificaciones falsas, la privacidad y la vinculación de datos de identidad.

En lugar de hacer clic en los enlaces del mensaje, se debería escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No se deben dar por válidos los mensajes sobre facturas, alertas de cuentas, recompensas de juegos, soporte, envíos, atención al cliente, citas de mantenimiento, avisos públicos o renovaciones de suscripciones sin verificarlos por un canal independiente.

Después de compartir documentos de identidad con servicios de alquiler, se deberían adoptar medidas de vigilancia frente al robo de identidad, utilizar una contraseña única y supervisar la actividad de la cuenta. Los usuarios deberían revisar periódicamente sus cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario duplicados y la información desactualizada de teléfonos y direcciones para eliminar lo que ya no necesiten. La regla básica debería ser utilizar una contraseña única para cada servicio y activar la verificación en dos pasos siempre que sea posible.

Los proveedores de servicios deben minimizar los datos, proteger las contraseñas de forma sólida, supervisar los registros de acceso, eliminar los campos innecesarios y tener preparados los procesos de notificación a los usuarios. Las empresas de alquiler deberían conservar los documentos de identidad durante el menor tiempo posible y restringir al máximo el acceso a ellos. Describir con precisión el alcance también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

Primero, compruebe si su dirección de correo electrónico aparece en este registro. Si encuentra una coincidencia, debe asumir que los campos de identificación oficial, pasaporte, teléfono, compras y contraseñas podrían estar en riesgo. La ausencia de coincidencias no descarta por completo que se haya utilizado otro correo electrónico o reutilizado una contraseña antigua; también debería revisar sus cuentas críticas.

Este registro se ha verificado y actualizado como sensible. En esta edición, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco con un texto original, no se añadieron campos sin verificar y el indicador de sensibilidad solo se utilizó cuando el contexto de riesgo lo justificaba.