Filtración de datos de Shoe Zone

Cuando aparecen juntos el nombre, la dirección, los datos de compras y la información parcial de la tarjeta, los atacantes pueden preparar mensajes que parezcan relacionados con pedidos reales. Los datos parciales de la tarjeta no equivalen al número completo; normalmente se refieren a campos limitados, como el tipo de tarjeta y los últimos dígitos. Aun así, esta información puede utilizarse para ganarse la confianza del usuario.

Cuando se reúnen campos como el nombre, el correo electrónico, el teléfono, la dirección, el nombre de usuario o la ubicación, los atacantes pueden contactar con el usuario fingiendo que existe una relación legítima de prestación de servicios. Esta información por sí sola no siempre implica que alguien haya tomado el control de la cuenta; sin embargo, puede utilizarse para el phishing, falsas solicitudes de asistencia, verificaciones de cuentas y esquemas de fraude personalizados. La contraseña no figura en el registro. El riesgo principal se centra en el historial de pedidos, la dirección de entrega y la información parcial de pago. En el contexto de la compra de calzado y otros productos en comercios, los mensajes falsos sobre devoluciones, entregas, correcciones de pedidos o verificaciones de pagos pueden resultar más convincentes.

La fecha del incidente consta como el 28 de junio de 2024, con 46 140 direcciones de correo electrónico afectadas. Los registros fiables indican que Shoe Zone anunció un incidente de ciberseguridad que involucraba más de 100 000 registros de pedidos con campos como el nombre, la dirección, la información parcial de la tarjeta, los datos de compra y el correo electrónico. Las categorías de datos actuales son coherentes con este alcance.

Al explicar el alcance, no debe afirmarse que se hayan filtrado los datos completos de la tarjeta de pago o una contraseña en texto claro. Los datos parciales de la tarjeta son peligrosos en ataques de ingeniería social, pero por sí solos no bastan para realizar un pago con ella. La advertencia adecuada para el usuario es el riesgo de recibir mensajes dirigidos que aprovechen el contexto de sus pedidos y pagos.

Los usuarios en riesgo son los clientes que compran en línea en Shoe Zone, facilitan una dirección de entrega y realizan pedidos con una tarjeta de pago. Quienes utilizan la misma dirección de correo electrónico en cuentas de otros sitios de compras corren el riesgo de sufrir ataques dirigidos a sus cuentas en distintos sitios.

Los usuarios cuyos datos de dirección y compras estén actualizados pueden recibir enlaces falsos relacionados con envíos, devoluciones y pagos. No debe considerarse fiable un mensaje o una llamada solo porque quien contacta conozca información parcial de la tarjeta; la transacción debe verificarse a través de los canales oficiales.

Los usuarios cuya dirección de correo electrónico coincida con este registro deben asegurarse de utilizar una contraseña única en su cuenta de Shoe Zone y en cada cuenta de otros comercios que use el mismo correo electrónico. Conviene revisar las transacciones bancarias y de tarjetas para detectar actividades inusuales y verificar los enlaces de envío o devolución desde el sitio web oficial.

En lugar de abrir directamente los enlaces recibidos, el usuario debe iniciar sesión a través de la dirección web conocida o de la aplicación oficial del servicio correspondiente. Que una persona que llama conozca su nombre, correo electrónico, dirección, pedido o información de perfil no demuestra que sea de confianza. No se deben compartir códigos de verificación de un solo uso, información de tarjetas de pago ni contraseñas de cuentas en ninguna conversación con un servicio de asistencia.

A largo plazo, adoptar el hábito de utilizar un gestor de contraseñas, contraseñas únicas y autenticación de dos factores, así como eliminar información personal innecesaria de las cuentas, reduce el riesgo. Reutilizar la misma dirección de correo electrónico en distintas plataformas facilita la combinación de datos procedentes de diferentes filtraciones; puede considerarse el uso de una dirección de correo electrónico o un alias independiente para las cuentas importantes.

Se deben eliminar las direcciones de entrega antiguas de las cuentas de comercios y evitar guardar información de pago innecesariamente. Los usuarios deben saber que la información parcial de una tarjeta no es una prueba de fiabilidad y verificar siempre las solicitudes de corrección de pagos a través del canal oficial del banco o del vendedor.

La comprobación en LeakData indica si la dirección de correo electrónico consultada aparece en este registro. Un resultado positivo no significa necesariamente que todos los campos de datos pertenezcan con certeza a ese usuario; aun así, constituye una advertencia suficiente para tomar medidas preventivas. Un resultado negativo solo indica que no hay ninguna coincidencia en este conjunto de datos y no descarta que la dirección aparezca en otras filtraciones.

Un resultado positivo requiere atención por los datos de pedidos y la información parcial de pago. Un resultado negativo significa que no hay ninguna coincidencia en este registro; también deben consultarse otros registros de comercios y empresas de transporte de mercancías.