Filtración de datos de SHEIN

Los principales tipos de datos verificados en el caso de SHEIN son las direcciones de correo electrónico y las contraseñas. La dirección de correo electrónico ayuda a los atacantes a preparar campañas falsas, avisos de entrega, cupones de descuento, solicitudes de devolución o mensajes de verificación de cuenta dirigidos a una persona concreta. El campo de la contraseña también es importante porque se almacena como un hash MD5. MD5 se considera débil según los estándares actuales; las contraseñas cortas, predecibles o utilizadas anteriormente pueden descifrarse con facilidad.

Una vez descifrada la contraseña, el peligro no se limita a una sola cuenta de compras. Si se utiliza la misma contraseña en cuentas de correo electrónico, redes sociales, servicios de pago no bancarios, videojuegos, centros educativos o trabajo, los atacantes pueden intentar acceder a otras cuentas mediante intentos automatizados de inicio de sesión. Cuando la dirección de correo electrónico se combina con los hábitos de compra, los intentos de phishing resultan más convincentes, por ejemplo, mediante mensajes de envío falsos, formularios de devolución, suplantaciones del servicio de atención al cliente y enlaces de descuento.

La filtración se produjo en junio de 2018. El conjunto verificado de cuentas contiene 39 086 762 direcciones de correo electrónico únicas. Las investigaciones oficiales posteriores trataron el incidente como un problema de mayor alcance para la seguridad de los clientes e indicaron que se habían visto afectadas 39 millones de cuentas de SHEIN y que, en un principio, el incidente se había presentado como más limitado. El resultado de Seguridad de la cuenta que aparece en esta página se centra en determinar si el correo electrónico del usuario está incluido en el conjunto verificado de correos electrónicos y contraseñas.

Por tanto, las categorías de datos se limitan a las direcciones de correo electrónico y las contraseñas. Aunque una revisión oficial señaló que el incidente también planteaba preocupaciones de seguridad adicionales relacionadas con las transacciones de pago, los campos que se enumeran aquí representan los principales datos que pueden verificarse en las consultas de cuentas. No ofrecer al usuario detalles sin confirmar o que no sean válidos para todas las cuentas evita una percepción errónea del riesgo y destaca las medidas de seguridad de las cuentas centradas en las contraseñas.

El principal grupo de riesgo está formado por personas que tienen una cuenta de SHEIN, utilizan la misma dirección de correo electrónico en otros sitios de compras o reutilizan su contraseña en varios servicios. Los usuarios que responden con frecuencia a mensajes sobre descuentos, cupones, envíos, devoluciones y atención al cliente son especialmente vulnerables a los intentos de fraude dirigido. El riesgo puede hacerse más evidente entre los usuarios jóvenes, quienes compran con frecuencia y quienes hacen clic en enlaces de campañas a través de las redes sociales.

Los usuarios que reutilizan contraseñas pertenecen al grupo de mayor riesgo. Los atacantes pueden probar las combinaciones de correo electrónico y contraseña obtenidas en distintas plataformas. Si en la cuenta de correo se utiliza el mismo patrón de contraseña, los atacantes pueden intentar acceder a los procesos de restablecimiento de contraseñas de otras cuentas. Dado que las cuentas de compras pueden contener información adicional, como direcciones registradas, números de teléfono o hábitos de pago, el riesgo de fraude, uso indebido de pedidos y solicitudes de reembolso falsas aumenta una vez que un atacante toma el control de la cuenta.

Debe cambiarse de inmediato la contraseña de todas las cuentas en las que se utilice una contraseña igual o similar a la de SHEIN. La nueva contraseña debe ser única, larga y almacenarse en un gestor de contraseñas. Debe darse prioridad a las cuentas de correo electrónico, las cuentas de pago, otros sitios de compras, las redes sociales y las cuentas vinculadas al número de teléfono. No basta con hacer pequeños cambios en la contraseña anterior; los atacantes también pueden intentar deducir contraseñas similares.

Debe activarse la autenticación multifactor en todas las cuentas que la admitan. Es necesario revisar las sesiones activas, los dispositivos registrados, los pedidos recientes, las direcciones guardadas y la información de recuperación de la cuenta. Debe examinarse cuidadosamente el nombre de dominio antes de hacer clic en enlaces de correos electrónicos que afirmen proceder de SHEIN o de notificaciones de compras. Los mensajes sobre gastos de envío, cupones de descuento, problemas de pago, confirmaciones de devolución o verificación de cuentas deben considerarse especialmente sospechosos.

El incidente de SHEIN muestra que las cuentas de comercio electrónico pueden utilizarse para intentos de verificación de identidad incluso años después. Utilizar contraseñas diferentes para las cuentas de compras, servicios financieros, redes sociales y correo electrónico es una medida de protección fundamental. Usar un gestor de contraseñas, eliminar periódicamente las contraseñas antiguas, cerrar las cuentas innecesarias y mantener actualizadas las opciones de recuperación de las cuentas reduce el riesgo a largo plazo.

También es importante eliminar de las cuentas de compras las direcciones innecesarias, los métodos de pago antiguos y los números de teléfono que ya no se utilicen. La cuenta de correo electrónico debe revisarse periódicamente para detectar reenvíos sospechosos, direcciones de recuperación desconocidas o sesiones que no se reconozcan. En el ámbito empresarial, la formación para evitar que los empleados reutilicen las contraseñas de sus cuentas personales de compras en las cuentas de trabajo, las comprobaciones de contraseñas filtradas y las políticas de autenticación adicionales ofrecen una protección duradera.

Si aparece un resultado de SHEIN en la comprobación de Seguridad de la cuenta, significa que la dirección de correo electrónico correspondiente está incluida en el conjunto verificado de cuentas asociado a la filtración de datos de SHEIN de 2018. Este resultado no significa que su cuenta actual de SHEIN se haya visto comprometida; sin embargo, indica que la información de correo electrónico y contraseña utilizada en el pasado puede haberse usado de forma indebida. No debe posponerse la adopción de medidas, especialmente si se utilizó la misma contraseña en otras cuentas.

Primero debe protegerse la cuenta de correo electrónico y, después, cambiarse una por una las contraseñas de todas las cuentas que utilicen la misma. Si hay un pedido sospechoso, una dirección desconocida, un mensaje inesperado de restablecimiento de contraseña o una sesión que no se reconoce, deben cerrarse las sesiones de la cuenta correspondiente y solicitarse una revisión de seguridad a través del canal de soporte. Dejar por completo de reutilizar contraseñas, activar la autenticación multifactor y actuar con cautela ante los mensajes relacionados con compras son las medidas más eficaces que puede tomar el usuario frente a esta filtración.