Filtración de datos de Robinsons Malls

Los tipos de datos observados en este registro son fechas de nacimiento, direcciones de correo electrónico, información sobre el género, ubicaciones geográficas, nombres y números de teléfono. No se verificó ningún campo de contraseña ni de tarjeta de pago. No se añadieron a la lista de clases de datos campos no verificados de tarjetas de pago, cuentas bancarias, mensajes privados, historiales médicos ni otros campos de perfil; solo se conservaron los campos respaldados por la evidencia.

La información sobre la ciudad, la provincia, el número de teléfono y la fecha de nacimiento puede hacer más convincentes los mensajes falsos sobre campañas, programas de fidelización, eventos en tiendas o recompensas. Una dirección de correo electrónico por sí sola supone un riesgo de recibir mensajes no deseados; al combinarla con un número de teléfono, una dirección, una IP, una fecha de nacimiento, una contraseña, un documento oficial de identidad, un registro de asistencia, información de un vehículo o una dirección física, resulta más fácil para un atacante crear mensajes personalizados para el usuario. La evaluación del riesgo se basó en este efecto combinado.

El alcance se verificó con 195 597 registros correspondientes a junio de 2024. Se conservaron los aspectos confirmados y se excluyeron los no confirmados. El incidente no se combinó con conjuntos de datos de nombres similares, incidentes de la misma empresa ocurridos en otros periodos ni referencias incorrectas al sector.

El registro se limita a los datos de usuarios de la aplicación móvil de Robinsons Malls y no se presentó como una filtración de un sistema de pagos. El nombre del dominio, el nombre de la empresa y la información del sector se mantuvieron dentro del contexto más preciso y acotado posible. En los aspectos inciertos, el indicador de verificación o el campo del sitio web se ajustaron en consecuencia; así se evitó atribuir ante el usuario una responsabilidad a la marca que no se había confirmado.

Entre los grupos de usuarios que podrían estar en riesgo se encuentran quienes tienen la aplicación móvil de Robinsons Malls o una cuenta de fidelización o de eventos. Los usuarios para quienes se encuentre una coincidencia también deben revisar otras cuentas en las que utilicen el mismo correo electrónico, número de teléfono, nombre de usuario o patrón de contraseña fuera del servicio en cuestión.

Los eventos y las promociones de los centros comerciales pueden parecer más convincentes cuando se personalizan con información de teléfono y ubicación. Si existe un contexto de correo electrónico corporativo, foro de videojuegos, registro de clientes de motocicletas, aplicación de un centro comercial, solicitud de asistencia, cuenta de alquiler, lista de marketing o malware, el riesgo de ingeniería social puede aumentar. Que algunos datos parezcan correctos no basta para considerar fiable un mensaje.

Los usuarios afectados deben verificar los mensajes sobre campañas, recompensas, eventos y verificación telefónica a través de la aplicación o el sitio web oficiales. En el caso de registros con un campo de contraseña, se deben cambiar las contraseñas de todas las cuentas que utilicen esa misma contraseña; en los registros sin un campo de contraseña, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono, las notificaciones falsas, la privacidad y la vinculación de identidades.

En lugar de hacer clic en los enlaces del mensaje, se debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. Los mensajes sobre facturas, alertas de cuentas, recompensas de videojuegos, asistencia, envíos, atención al cliente, citas de mantenimiento, avisos públicos o renovaciones de suscripciones no deben darse por válidos sin verificarlos a través de un canal independiente.

En las aplicaciones móviles del sector minorista, se debe compartir la menor cantidad posible de información sobre la fecha de nacimiento, el número de teléfono y la ubicación. Los usuarios deben revisar y eliminar periódicamente las cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario duplicados y los datos antiguos de teléfono y dirección. Utilizar una contraseña única para cada servicio y la verificación en dos pasos, cuando sea posible, debe ser una regla básica.

Por parte de los proveedores de servicios, se requieren la minimización de datos, una protección sólida de las contraseñas, la supervisión de los registros de acceso, la eliminación de campos innecesarios y la preparación de los procesos de notificación a los usuarios. Las aplicaciones móviles del sector minorista no deben mantener vinculados los datos de campañas con la identidad de los clientes durante más tiempo del necesario. Describir correctamente el alcance también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

Primero, compruebe este registro con su dirección de correo electrónico. Si se encuentra una coincidencia, debe asumir que los datos de número de teléfono, fecha de nacimiento, ciudad/provincia y nombre pueden utilizarse en mensajes de campañas dirigidos específicamente a usted. No encontrar una coincidencia no descarta por completo que se haya utilizado otro correo electrónico o reutilizado una contraseña antigua; también debe revisar las cuentas críticas.

Este registro siguió marcado como verificado; no se añadieron campos de contraseña ni de pago sin verificar. En esta edición, los campos de datos se mantuvieron como clases canónicas en inglés, la descripción visible para el usuario se redactó en turco con texto original, no se añadieron campos sin verificar y el indicador de sensibilidad solo se utilizó cuando el contexto de riesgo lo justificaba.