Filtración de datos de Serasa Experian Brasil (2020)

Las categorías de datos verificadas son nombres, fechas de nacimiento, información de género y números de identificación emitidos por el Estado. En Brasil, los números de identificación como el CPF son el elemento más crítico, porque funcionan como identificador principal en las operaciones financieras, administrativas y digitales de una persona. Al combinarlos con el nombre, la fecha de nacimiento y el género, se obtiene un perfil sólido que puede utilizarse para verificar la identidad, cometer fraudes y presentar solicitudes falsas. Aunque no se haya verificado la presencia de contraseñas o datos de tarjetas de pago, estos datos de identidad suponen un riesgo a largo plazo porque no cambian con los años.

Las filtraciones de datos que contienen números de identificación son distintas de las filtraciones habituales de contraseñas de cuentas. Las contraseñas pueden cambiarse, pero los números de identificación y las fechas de nacimiento son permanentes para la mayoría de las personas. Esta información puede utilizarse en ataques como solicitudes fraudulentas de crédito, aperturas de cuentas, fraudes financieros, ingeniería social, llamadas falsas de atención al cliente y suplantación de instituciones oficiales. Además, al combinar datos como el nombre, la fecha de nacimiento y el género con otros conjuntos de datos, aumenta la probabilidad de vincularlos con la dirección, el número de teléfono, los ingresos o la información del perfil social de una persona. Por ello, el registro de Serasa Experian en Brasil de 2020 entraña riesgos relacionados con datos personales sensibles, aunque no contenga contraseñas.

El alcance verificado de este registro comprende a 223 739 215 personas. Se consideró que los datos correspondían a finales de 2020 y que el incidente se hizo público en enero de 2021. Los principales campos verificados son el nombre, la fecha de nacimiento, el género y el número de identificación. Algunas noticias y análisis de investigadores mencionaron direcciones, teléfonos, puntuaciones crediticias, ingresos, información de vehículos y otros campos personales; sin embargo, en esta lista de categorías de datos solo se incluyen los campos que pueden verificarse para este registro. Este criterio se adoptó de forma deliberada para evitar presentar al usuario campos no verificados como datos confirmados.

También deben explicitarse las limitaciones de la atribución. El conjunto de datos ha circulado bajo el nombre de Serasa Experian, y muchos observadores han señalado a esta entidad por la naturaleza de los datos. No obstante, no se ha confirmado que los sistemas de la empresa se vieran comprometidos ni que los datos procedieran directamente de su base de datos. Por tanto, el campo de origen debe indicar que se trata de un registro de filtración no verificada. Para el usuario, esta distinción no significa que el riesgo sea bajo. Cuando hay información permanente, como números de identificación y fechas de nacimiento, las dudas sobre el origen no justifican retrasar las medidas de protección.

El grupo de mayor riesgo incluye a las personas en Brasil que tienen un número de identificación, un perfil crediticio o un registro como consumidor. Se ha informado de que el conjunto de datos podría contener registros tanto de personas fallecidas como de personas vivas; esta situación puede aumentar los riesgos de fraude relacionados con herencias, asuntos familiares, líneas telefónicas y operaciones financieras. Como el número de identificación y la fecha de nacimiento todavía pueden solicitarse como identificadores auxiliares en llamadas a servicios de asistencia o en procesos de verificación en línea, estos datos pueden dar ventaja al atacante. Las solicitudes falsas a nombre de una persona, las notificaciones falsas de deudas o los mensajes que suplantan a instituciones oficiales pueden resultar más convincentes.

El segundo grupo de riesgo está formado por personas cuyos datos de identidad pueden vincularse con otros conjuntos de datos mediante el correo electrónico, el teléfono o la dirección. Aunque el correo electrónico o el teléfono no se incluyan entre las categorías de datos confirmadas de este conjunto, puede obtenerse un perfil más amplio al combinar el nombre y el número de identificación con otras filtraciones. Por ello, deben extremar la precaución quienes utilizan servicios financieros, solicitan créditos, tienen una línea móvil o acceden a servicios públicos. Además, los mensajes sobre pagos, deudas, paquetes, salud o notificaciones oficiales enviados en nombre de familiares pueden intentar parecer fiables apoyándose en datos de identidad.

El primer paso es examinar con más atención los mensajes inesperados que contienen números de identificación e información personal. Los usuarios no deben confiar sin más en mensajes sobre créditos, deudas, pagos, ayudas públicas, impuestos, bancos, líneas telefónicas o documentos oficiales. Que el nombre, la fecha de nacimiento o el número de identificación incluidos en el mensaje sean correctos no demuestra por sí solo que sea fiable. Las solicitudes recibidas en nombre de entidades financieras, operadores de telecomunicaciones u organismos públicos deben verificarse por un canal independiente, a través del sitio web oficial o de un centro de atención telefónica verificado.

El segundo paso es revisar periódicamente la actividad financiera y administrativa. Debe hacerse un seguimiento de las solicitudes de crédito, las notificaciones bancarias, las operaciones relacionadas con líneas telefónicas y las alertas de instituciones oficiales. Si se detecta una solicitud u operación sospechosa, hay que contactar cuanto antes con la entidad correspondiente y, si es posible, iniciar un procedimiento formal de reclamación. Los usuarios no deben compartir por teléfono datos como números de identificación, fechas de nacimiento o información familiar. Al mismo tiempo, deben reforzar la seguridad de las cuentas de correo electrónico y las líneas móviles, y activar la autenticación multifactor en las cuentas importantes que la admitan.

Una estrategia a largo plazo frente a este tipo de filtración de datos de identidad va más allá de cambiar las contraseñas. Los usuarios deben revisar periódicamente sus operaciones financieras, solicitudes de crédito y procesos de verificación de identidad. En las cuentas bancarias y de telecomunicaciones deben utilizarse contraseñas seguras, autenticación multifactor y notificaciones de operaciones. La información que no cambia, como los números de identificación o las fechas de nacimiento, no debe ser la opción preferente como elemento de seguridad en las preguntas de recuperación de cuentas. Siempre que sea posible, deben utilizarse contraseñas adicionales, llaves de seguridad o autenticación mediante aplicaciones.

Para las instituciones, la lección es más clara: los conjuntos de datos que contienen información de identidad deben protegerse conforme al principio de acceso mínimo, deben reducirse los plazos de conservación de los datos y deben eliminarse las copias innecesarias. En las relaciones con proveedores e intermediarios de datos, debe auditarse periódicamente qué información se almacena, dónde, durante cuánto tiempo y quién ha accedido a ella. Por su parte, los usuarios deben cuestionar la necesidad de compartir datos con cada nuevo servicio que les solicite información personal, evitar completar campos innecesarios y mantener activados los sistemas de notificación siempre que sea posible. Reducir los riesgos asociados a los datos de identidad permanentes requiere atención constante y un seguimiento periódico.

La comprobación de Serasa Experian Brasil 2020 en LeakData le ayuda a entender si su información está vinculada a esta filtración de datos. Si el resultado es positivo, empiece por revisar con mayor frecuencia las operaciones financieras y administrativas relacionadas con su número de identificación. No haga clic en enlaces de mensajes inesperados sobre créditos, deudas, líneas telefónicas, impuestos, entregas de paquetes o servicios básicos; verifique la solicitud por un canal independiente y fiable. No comparta su información personal por teléfono ni en mensajes. Utilice contraseñas seguras y autenticación multifactor en sus cuentas bancarias, de correo electrónico y de servicios móviles.

Dado que esta filtración no incluía contraseñas, limitarse a cambiar la contraseña no es una respuesta adecuada. El principal riesgo es que los datos de identidad puedan utilizarse durante mucho tiempo para cometer fraudes y realizar ataques de ingeniería social. Información como el nombre, la fecha de nacimiento, el género y el número de identificación puede utilizarse en solicitudes falsas o intentos de suplantación de identidad incluso años después. Por tanto, mantener activadas las notificaciones financieras, denunciar rápidamente las operaciones sospechosas, actuar con cautela ante mensajes que suplantan a instituciones oficiales y reducir el intercambio de datos personales son las bases de la protección a largo plazo.