Filtración de datos de Romwe

Las categorías de datos verificadas son direcciones de correo electrónico, nombres, números de teléfono, direcciones IP, direcciones físicas, ubicaciones y hashes de contraseñas. Este registro recoge 19 531 820 direcciones de correo electrónico únicas, mientras que una investigación de las autoridades reguladoras informó del robo de credenciales de acceso de más de siete millones de cuentas de ROMWE. Estas cifras proceden de fuentes distintas y se refieren a unidades de recuento diferentes; no deben sumarse ni presentarse como 19,5 millones de cuentas de clientes confirmadas. Los correos electrónicos y los hashes de contraseñas generan riesgos de toma de control de cuentas y de ataques basados en la reutilización de credenciales, mientras que los nombres y los números de teléfono facilitan fraudes personalizados. Los datos de direcciones, ubicaciones e IP pueden hacer más convincentes los mensajes sobre compras o entregas. Los números de tarjetas de pago no son una categoría verificada en el conjunto de datos de ROMWE, por lo que los hallazgos sobre tarjetas de la investigación más amplia del operador no se atribuyen a este registro.

Zoetop Business Company, Ltd., el operador de ROMWE, fue objeto de un ciberataque en junio de 2018 que alcanzó su red interna. Un aviso de la empresa indicó que las credenciales de ROMWE podrían haber sido sustraídas en julio, mientras que la investigación de las autoridades reguladoras concluyó que probablemente se extrajeron durante el mismo ataque de 2018. Como no se ha divulgado el día exacto, este registro utiliza el 1 de junio como fecha de referencia para ese mes. La empresa descubrió credenciales de ROMWE en línea el 7 de septiembre de 2020, restableció las contraseñas afectadas y notificó a los usuarios. Las contraseñas del conjunto de datos examinado se describieron como hashes SHA-1 con sal. Los hashes no son texto plano, pero SHA-1 no es adecuado para almacenar contraseñas y las contraseñas débiles podrían recuperarse mediante análisis sin conexión. El ataque también afectó a otra marca y a sistemas de pago operados por la empresa; sigue sin haber pruebas suficientes de que hubiera información de tarjetas en este conjunto de datos de ROMWE.

El principal grupo de riesgo está formado por quienes crearon una cuenta de ROMWE antes de mediados de 2018 y proporcionaron un nombre, un número de teléfono, un correo electrónico o una dirección de entrega. El riesgo es mayor si se reutilizó la misma contraseña en el correo electrónico, las redes sociales u otra tienda, ya que los atacantes pueden probar las credenciales en otros servicios. Los datos de la cuenta, combinados con la dirección y el teléfono, pueden facilitar mensajes falsos sobre entregas, problemas con pedidos, reembolsos, cupones, tasas aduaneras o verificaciones. Una cuenta abandonada sigue siendo relevante: el correo electrónico y el teléfono pueden seguir vigentes durante años, y una dirección antigua puede facilitar la ingeniería social. Una coincidencia en el conjunto de datos no demuestra que todos los campos enumerados estuvieran presentes en el registro de esa persona, que se hubiera recuperado la contraseña ni que se hubiera hecho un uso indebido de la cuenta. La exposición, la obtención de contraseñas a partir de sus hashes y el compromiso confirmado de una cuenta son resultados distintos y no deben confundirse en una sola afirmación.

Si no cambió su contraseña de ROMWE después del incidente, o si reutilizó una similar en otros servicios, identifique esas cuentas y asigne a cada una una contraseña robusta y única. Dé prioridad al correo electrónico, ya que allí llegan los enlaces de restablecimiento y el acceso al buzón puede permitir tomar el control de otros servicios. Active la autenticación multifactor donde esté disponible, revise los datos de recuperación y cierre las sesiones que no reconozca. Revise el historial de pedidos, las direcciones de entrega y los métodos de pago guardados en ROMWE; aunque los números de tarjetas no están verificados en este conjunto de datos, informe a su banco de cualquier transacción sospechosa. Ante mensajes sobre envíos, devoluciones, descuentos o suspensiones, examine el dominio real del remitente y el destino de los enlaces. No abra archivos adjuntos inesperados, no inicie sesión desde un enlace incluido en un mensaje ni revele códigos de un solo uso. Si detecta un cambio no autorizado, proteja la cuenta y contacte con el servicio a través de su canal oficial de soporte.

Un gestor de contraseñas que cree una contraseña distinta para cada servicio limita la posibilidad de que una filtración en una tienda afecte a otras cuentas. Active las alertas de filtraciones y de contraseñas débiles, y dé preferencia a una aplicación de autenticación o a una llave de seguridad física para la autenticación multifactor. Usar alias de correo electrónico distintos para las compras puede ayudarle a identificar dónde se compartió una dirección y a detectar fraudes con mayor facilidad. Conserve solo la información necesaria para las entregas y las transacciones; elimine las direcciones, los números de teléfono y las aplicaciones conectadas que ya no necesite. Considere eliminar las cuentas que ya no utiliza y confirme que se hayan eliminado. Revise periódicamente la actividad bancaria y las alertas de seguridad, pero no se fíe de un enlace recibido por correo electrónico; utilice la aplicación oficial o escriba la dirección directamente. Los conjuntos de datos antiguos pueden combinarse con información más reciente, por lo que la antigüedad de este incidente no elimina la necesidad de mantener la seguridad de las cuentas y estar alerta ante el phishing.

Una coincidencia de correo electrónico significa que la dirección apareció en el conjunto de datos asociado a ROMWE, que contiene 19 531 820 direcciones únicas. No permite determinar a cuál de los más de siete millones de registros de acceso confirmados por la investigación corresponde, si la cuenta sigue abierta o si hay contraseñas visibles en texto plano. Si encuentra una coincidencia, compruebe si reutilizó la contraseña de 2018 en otros servicios; proteja primero el correo electrónico y después las cuentas que tengan la misma contraseña antigua o una similar. La ausencia de coincidencias no es una garantía absoluta de seguridad: podría haberse registrado con otra dirección, haber abierto la cuenta más tarde o haberse visto afectado por otro incidente no verificado. Combine las comprobaciones con las alertas del gestor de contraseñas, la autenticación multifactor y la revisión de las sesiones activas. Ante mensajes sospechosos, evalúe en conjunto el dominio real del remitente, el destino de los enlaces, la presión para actuar y las solicitudes de pago o de códigos de verificación. Así, un resultado histórico se convierte en una práctica de seguridad continua.