Filtración de datos de Rush My Passport en 2020

Los campos del registro de Rush My Passport son especialmente sensibles por su relación con las solicitudes de pasaporte y los servicios documentales. El correo electrónico y el teléfono permiten dirigirse directamente al usuario; el nombre completo y la fecha de nacimiento pueden utilizarse indebidamente para responder a preguntas de verificación de identidad; y la dirección física puede hacer más convincentes los mensajes falsos sobre entrega de documentos, actualizaciones de citas, indicaciones de mensajería o finalización de solicitudes. Cuando estos campos aparecen juntos, los atacantes pueden preparar mensajes que no solo sirvan para ataques genéricos de phishing, sino que también den la impresión de estar relacionados con un trámite documental real del destinatario.

El principal riesgo en este caso es que el contexto del servicio de pasaportes pueda llevar al usuario a tomar una decisión precipitada. Los atacantes pueden enviar enlaces falsos con pretextos como documentos pendientes, retrasos en la entrega, cambios de cita, tasas de solicitud, verificación de identidad o confirmación de dirección. Si el mensaje contiene el nombre, el número de teléfono o la dirección reales, el usuario puede creer más fácilmente que es auténtico. Por ello, los usuarios de Rush My Passport deben verificar los correos electrónicos y SMS que reciban a través del dominio oficial que conocen o de un canal de comunicación de confianza utilizado anteriormente, en lugar de hacerlo mediante el enlace del propio mensaje.

Para los usuarios, la prioridad es tratar con mayor cautela las solicitudes de verificación recibidas por correo electrónico y teléfono. Si la misma dirección de correo también se utiliza en cuentas de servicios financieros, viajes, administraciones públicas, paquetería o salud, este registro puede facilitar mensajes de ingeniería social relacionados con distintos ámbitos. No se deben compartir la fecha de nacimiento, la dirección, el estado de los documentos ni información de pago durante llamadas telefónicas. Aunque la otra persona parezca conocer ya datos personales, las instituciones legítimas no deberían solicitar datos de identidad completos ni instrucciones de pago en llamadas inesperadas.

Para las organizaciones, este registro muestra que los datos de contacto que los empleados utilizan en trámites documentales personales y servicios de viajes también pueden afectar a la seguridad corporativa. Cuando el nombre, el teléfono, la fecha de nacimiento y la dirección de un empleado quedan expuestos en un servicio externo, los atacantes pueden preparar mensajes que imiten procesos internos de recursos humanos, visados, viajes, envíos o justificación de gastos. Los equipos de seguridad deben evaluar estos incidentes no solo como filtraciones de contraseñas, sino también como riesgos para la autenticación y de ingeniería social.

Tras esta última corrección, el registro de la filtración de datos de Rush My Passport se ha limitado a los campos de correo electrónico, nombre completo, fecha de nacimiento, dirección física y número de teléfono. Esta delimitación es importante para no inducir a error al usuario: no deben añadirse al registro números de pasaporte, imágenes de documentos ni datos de tarjetas de pago sin un respaldo explícito. La defensa más adecuada para los usuarios consiste en verificar por un canal independiente los mensajes que parezcan proceder de un servicio documental o de mensajería, o que estén relacionados con una cita, una verificación de dirección o una solicitud de pago; activar la autenticación multifactor en su cuenta de correo electrónico; y no compartir credenciales por teléfono.

La corrección de este registro es especialmente importante para aclarar los nombres de los campos de datos. El riesgo para los usuarios no se deriva de un campo documental más específico, como el número de pasaporte, sino de datos de identidad y contacto que dan credibilidad a los procesos de solicitud y entrega. Utilizados en conjunto, el nombre, la fecha de nacimiento, la dirección, el número de teléfono y el correo electrónico pueden hacer que las citas falsas para trámites documentales, las confirmaciones de entrega o los mensajes de finalización de solicitudes parezcan más fiables. Por ello, los usuarios deben comprobar manualmente el nombre del dominio antes de hacer clic en un enlace, evitar la verificación de datos personales en llamadas o mensajes entrantes y reforzar la protección del acceso al correo electrónico para mejorar la seguridad de la cuenta.

Esta página se ha actualizado para que quienes busquen información sobre la filtración de datos de Rush My Passport puedan entender, sin exageraciones, cuáles de sus datos podrían estar en riesgo. Las categorías de datos se limitan a direcciones de correo electrónico, nombres y apellidos, fechas de nacimiento, direcciones físicas y números de teléfono. Mantener este límite permite priorizar correctamente las advertencias de seguridad: antes de cambiar sus contraseñas, los usuarios deben centrarse en el phishing, las notificaciones falsas de mensajería, el fraude relacionado con servicios documentales y los intentos de solicitar información por teléfono.