Filtración de datos de Shitexpress

Los tipos de datos filtrados son direcciones de correo electrónico, direcciones IP, nombres, direcciones físicas, mensajes privados y registros de compras. Por el contexto de los envíos, las direcciones físicas y los nombres agravan las amenazas dirigidas directamente a las personas. Los mensajes privados tienen un gran impacto en la privacidad, ya que pueden revelar la relación entre el destinatario y el remitente o el propósito del pedido. Los registros de compras pueden aumentar el riesgo de daños a la reputación, ingeniería social y acoso dirigido, al mostrar la relación de la persona con el servicio. Las direcciones IP pueden utilizarse para estimar la ubicación y vincular cuentas. Por tanto, estos registros deben clasificarse como datos sensibles y no considerarse una mera filtración de correos electrónicos.

El alcance verificado comprende 23 817 cuentas afectadas y datos asociados al dominio shitexpress.com. Las contraseñas, los números completos de tarjetas de pago, las cuentas bancarias, los números de identificación oficial y los documentos de identidad no figuran entre los campos verificados dentro de este alcance. En cambio, las direcciones, los registros de compras y los mensajes privados sí están incluidos en el alcance verificado. Los datos afectados abarcan direcciones de correo electrónico relacionadas con facturas, tarjetas de regalo, promociones y registros de pagos; también incluyen, a efectos de la evaluación del riesgo, la información de IP y correo electrónico del remitente, las direcciones físicas del destinatario y los mensajes añadidos a los envíos. El campo de fecha que muestra 2022 corresponde a la fecha del incidente, mientras que el 16 de agosto de 2022 corresponde a la fecha en que se elaboró el listado verificado.

Los grupos en riesgo son las personas que hacen pedidos, los destinatarios de los envíos, los usuarios que aparecen en registros de tarjetas de regalo o promociones y las personas mencionadas en el campo del mensaje. La presencia conjunta del correo electrónico del remitente y la dirección del destinatario puede permitir deducir más información sobre la relación entre ambas partes. Al combinar la dirección, el nombre y la nota de entrega del destinatario, aumenta el riesgo de fraude dirigido, presión social, daños a la reputación o contacto no deseado. Las direcciones IP pueden aportar información adicional sobre la región aproximada del remitente o la sesión de su dispositivo. En un incidente de este tipo, el carácter sensible de los datos no se debe únicamente al riesgo de pérdidas económicas, sino también a la posibilidad de perjuicios para la privacidad y de daños en el ámbito social.

Los usuarios afectados deben revisar el historial de sesiones y la seguridad de las contraseñas de las cuentas en las que utilicen la misma dirección de correo electrónico. Deben prever la posibilidad de recibir mensajes de phishing dirigidos, aunque las contraseñas no figuren como una categoría de datos verificada. Los mensajes sobre pedidos, envíos, pagos, devoluciones, tarjetas de regalo o notas de entrega deben verificarse a través de canales oficiales antes de abrir cualquier enlace. Las personas cuyas direcciones físicas estén afectadas deben actuar con cautela ante solicitudes relacionadas con entregas y llamadas de procedencia desconocida. Se debe activar la autenticación multifactor en las cuentas de correo electrónico, actualizar la información de recuperación y supervisar las notificaciones de seguridad de las cuentas importantes vinculadas a la misma dirección. Dado que los datos contienen mensajes privados, los usuarios deben estar preparados ante posibles intentos de ingeniería social e intimidación.

Este incidente demuestra los riesgos que los datos de pedidos y entregas pueden suponer para la privacidad. En los servicios de comercio electrónico, el historial de pedidos, las áreas de mensajería y los datos de direcciones deben conservarse únicamente durante el periodo mínimo necesario hasta que se complete la transacción. Para los usuarios, emplear direcciones de correo electrónico distintas para cada servicio, un gestor de contraseñas robusto y autenticación multifactor ofrece protección a largo plazo. Por su parte, las empresas también deben proteger los registros de direcciones, mensajes y datos vinculados a pagos, eliminar los campos innecesarios y restringir los permisos de acceso. Los equipos de atención al usuario deben preparar notificaciones que expliquen con claridad los riesgos de suplantación de identidad y acoso tras este tipo de vulneraciones.

Los usuarios que vean una filtración de Shitexpress en LeakData también deben evaluar si la dirección de correo electrónico correspondiente se ha utilizado para hacer pedidos, recibir envíos o registrarse en promociones. Cuando la dirección de correo electrónico, la dirección física y el mensaje privado aparecen juntos, el riesgo debe considerarse mayor. El usuario debe revisar los registros de inicio de sesión de las cuentas importantes vinculadas a la misma dirección de correo electrónico, mantener activadas las alertas de seguridad y verificar los mensajes sospechosos sobre entregas o pagos mediante una fuente oficial antes de responder. Dado que los datos relativos a las direcciones y los mensajes no pueden modificarse, se debe mantener la cautela a largo plazo ante los riesgos de rastreo de identidades, búsquedas dirigidas y presión social.