Filtración de datos de Rightbiz

Los tipos de datos observados en este registro son direcciones de correo electrónico, nombres, números de teléfono y direcciones físicas. No se verificó el campo de contraseña; el riesgo se sitúa en el contexto de las comunicaciones y las ofertas de empleo. No se añadieron a la lista de categorías de datos campos no verificados de tarjetas de pago, cuentas bancarias, mensajes privados, historiales médicos ni datos adicionales de perfil; solo se conservaron los campos respaldados por la evidencia.

Los mensajes sobre venta de negocios, franquicias, intermediarios o inversiones pueden parecer más fiables cuando incluyen un nombre, un número de teléfono y una dirección. Solicitar únicamente una dirección de correo electrónico genera un riesgo de mensajes no deseados; cuando se combina con un número de teléfono, una dirección, una IP, una fecha de nacimiento, una contraseña, un documento de identidad oficial, un registro de soporte, información sobre un vehículo o una dirección física, resulta más fácil para un atacante crear mensajes dirigidos específicamente al usuario. La evaluación del riesgo se basó en este efecto combinado.

Se verificó un alcance de 65 376 direcciones de correo electrónico en el verano de 2023. Se conservaron los campos verificados y se excluyeron los no confirmados. El incidente no se agrupó con conjuntos de datos de nombres similares, incidentes de la misma empresa ocurridos en otros periodos ni atribuciones incorrectas de sector.

El registro se vinculó al nombre de dominio rightdev.co.uk y no se fusionó con otros registros de plataformas de compraventa de negocios. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron dentro del contexto más acotado y preciso posible. Cuando había incertidumbre, el indicador de verificación o el campo del sitio web se configuraron en consecuencia; así, no se presentó al usuario una atribución de responsabilidad a una marca que no estuviera confirmada.

Entre los grupos de usuarios en riesgo pueden estar quienes publican anuncios en Rightbiz, quienes desean contratar servicios o quienes dejan sus datos en un formulario de contacto. Los usuarios que encuentren una coincidencia también deben evaluar otras cuentas en las que utilicen el mismo correo electrónico, teléfono, nombre de usuario o patrón de contraseña fuera del servicio en cuestión.

Los usuarios cuyos datos incluyen direcciones comerciales o números de teléfono pueden recibir mensajes falsos sobre inversiones, pagos o consultoría. Si existe un contexto relacionado con un correo electrónico corporativo, un foro de videojuegos, un registro de cliente de motocicletas, una aplicación de un centro comercial, una petición de soporte, una cuenta de alquiler, una lista de marketing o malware, el riesgo de ingeniería social puede aumentar. Que algunos datos parezcan correctos no es, por sí solo, una señal de fiabilidad.

Los usuarios afectados deben verificar por canales oficiales las solicitudes relacionadas con la venta de negocios, inversiones, consultoría y pagos. En los registros que incluyan un campo de contraseña, se deben cambiar las contraseñas de todas las cuentas que utilicen la misma; en los registros sin ese campo, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono, las notificaciones falsas, la privacidad y la vinculación de identidades.

En lugar de hacer clic en los enlaces del mensaje, debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No debe dar por legítimos los mensajes sobre facturas, alertas de cuentas, recompensas de videojuegos, soporte, envíos, atención al cliente, citas de mantenimiento, avisos públicos o renovaciones de suscripciones sin verificarlos por un canal independiente.

En las plataformas de empleo, se debe separar la información de contacto personal de la profesional y reducir la visibilidad innecesaria de las direcciones. Los usuarios deben revisar y eliminar periódicamente las cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario duplicados y la información antigua de teléfonos y direcciones. Utilizar una contraseña única para cada servicio y activar la verificación en dos pasos cuando sea posible debe ser una regla básica.

Los proveedores de servicios deben minimizar los datos recopilados, proteger las contraseñas de forma robusta, supervisar los registros de acceso, eliminar los campos innecesarios y tener preparados los procesos de notificación a los usuarios. Las plataformas de compraventa deben almacenar por separado los datos de los anuncios y los registros de comunicaciones. Explicar correctamente el alcance también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

Para este registro, debe realizar la comprobación principalmente con su dirección de correo electrónico. Si encuentra una coincidencia, debe asumir que el teléfono y la dirección física pueden utilizarse en mensajes relacionados con el trabajo. La ausencia de coincidencias no descarta por completo el uso de otro correo electrónico ni la reutilización de una contraseña antigua; también debe revisar las cuentas críticas.

Este registro mantuvo su estado de verificado; el indicador de datos sensibles quedó desactivado porque no se verificaron contraseñas ni datos de categorías privadas. En esta edición, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco con contenido original, no se añadieron campos sin verificar y el indicador de sensibilidad se utilizó únicamente cuando el contexto de riesgo lo justificaba.