Lista de datos para spam: SaverSpy

Los tipos de datos presentes en este registro son direcciones de correo electrónico, información sobre el género, nombres y direcciones físicas. No se encontró ningún campo de contraseña; el riesgo se centra en el marketing dirigido y la privacidad de la dirección física. No se añadieron a la lista de clases de datos campos no verificados de tarjetas de pago, cuentas bancarias, mensajes privados, historiales médicos ni otros datos de perfil; solo se conservaron los campos respaldados por la evidencia.

La combinación de una dirección de correo de Yahoo, un nombre, el género y una dirección física permite personalizar mensajes sobre servicios locales, deudas, campañas o entregas. La dirección de correo electrónico por sí sola supone un riesgo de recibir mensajes no deseados; al combinarla con un teléfono, una dirección, una IP, una fecha de nacimiento, una contraseña, un documento de identidad oficial, registros de asistencia, información de vehículos o una dirección física, resulta más fácil para un atacante generar mensajes específicos para cada usuario. La evaluación del riesgo se basó en este efecto combinado.

El alcance verificado a fecha de septiembre de 2018 era de 2,45 millones de direcciones de correo electrónico. Se conservaron los campos verificados y se excluyeron los no confirmados. El incidente no se combinó con conjuntos de datos de nombres similares, sucesos de la misma empresa ocurridos en otros periodos ni referencias incorrectas al sector.

Este registro no corresponde a la vulneración de una cuenta de una empresa específica; los campos de dominio y sitio web se dejaron en blanco. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron en el contexto más acotado y preciso posible. Cuando existía incertidumbre, el indicador de verificación o el campo del sitio web se ajustaron en consecuencia; de este modo, no se presentó al usuario a ninguna marca como responsable sin que su responsabilidad estuviera confirmada.

Los grupos de usuarios en riesgo pueden incluir a quienes utilizan correos de Yahoo incluidos en listas de marketing y a las personas cuyas direcciones físicas han circulado. Los usuarios que encuentren una coincidencia también deberían revisar otras cuentas ajenas al servicio correspondiente en las que utilicen el mismo correo electrónico, teléfono, nombre de usuario o patrón de contraseña.

Es posible que el usuario no recuerde haberse registrado en un servicio llamado SaverSpy; sus datos podrían proceder de listas de datos utilizadas con fines de marketing. Si existe un contexto de correo corporativo, foro de videojuegos, registro de clientes de motocicletas, aplicación de un centro comercial, petición de asistencia, cuenta de alquiler, lista de marketing o software malicioso, el riesgo de ingeniería social puede aumentar. Que ciertos detalles parezcan correctos no es, por sí solo, una señal de confianza.

Los usuarios afectados deberían verificar por un canal independiente los mensajes sobre campañas, deudas, entregas o servicios locales que contengan su nombre y dirección. En los registros que incluyan un campo de contraseña, se deberían cambiar las contraseñas de todas las cuentas que utilicen la misma; en los registros sin campo de contraseña, la atención debería centrarse en los riesgos relacionados con el correo electrónico, el teléfono, las notificaciones falsas, la privacidad y la vinculación de datos de identidad.

En lugar de hacer clic en los enlaces del mensaje, debería escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No debería dar por válidos los mensajes sobre facturas, avisos de cuenta, recompensas de juegos, asistencia, envíos, atención al cliente, citas de mantenimiento, anuncios públicos o renovaciones de suscripciones sin verificarlos por un canal independiente.

Se deberían reducir los permisos de marketing, limitar la comunicación de direcciones físicas en formularios innecesarios y considerar el uso de direcciones de correo electrónico separadas. Los usuarios deberían revisar periódicamente sus cuentas antiguas y eliminar los campos de perfil innecesarios, los nombres de usuario duplicados y la información antigua de teléfonos y direcciones. La norma básica debería ser utilizar una contraseña única para cada servicio y la verificación en dos pasos siempre que sea posible.

Para los proveedores de servicios, son necesarias la minimización de datos, una protección sólida de las contraseñas, la supervisión de los registros de acceso, la eliminación de campos innecesarios y la preparación de los procesos de notificación a los usuarios. En las organizaciones que almacenan datos de marketing, campos como la dirección y el género deberían protegerse tanto como el correo electrónico. Explicar el alcance con precisión también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas inadecuadas.

Primero debería realizar la comprobación con la dirección de correo electrónico de este registro. Si encuentra una coincidencia, debería asumir que el nombre, el género y la dirección física pueden utilizarse en mensajes dirigidos. La ausencia de coincidencias no descarta por completo el uso de otro correo electrónico ni la reutilización de una contraseña antigua; también debería revisar las cuentas críticas.

Este registro se ha verificado y se ha mantenido marcado como sensible; no se presentó como una vulneración de un único sitio web. En este ajuste, los campos de datos se conservaron como clases canónicas en inglés, la descripción visible para el usuario se redactó en turco con un texto original, no se añadieron campos sin verificar y el indicador de datos sensibles solo se utilizó cuando el contexto de riesgo lo justificaba.