Filtración de datos de ShopBack

El incidente de ShopBack expuso direcciones de correo electrónico, datos de país o ubicación geográfica, nombres, números de teléfono y hashes de contraseñas. Una investigación regulatoria también confirmó que, en Singapur, los datos afectados incluían unos 300 000 números de cuentas bancarias y datos parciales de tarjetas de crédito de aproximadamente 380 000 personas. Las contraseñas estaban almacenadas como hashes SHA-1 con sal, no como texto sin cifrar. El uso de sal ralentiza los ataques, pero SHA-1 no hace que las contraseñas débiles sean seguras. Los datos de correo electrónico, nombre, teléfono y país pueden utilizarse para personalizar mensajes falsos sobre devoluciones, retiros de reembolsos por compras o verificación de cuentas. La información de cuentas bancarias y los datos parciales de tarjetas no bastan para realizar una transacción directamente, pero pueden ayudar a un estafador a ganarse la confianza de la víctima. No se ha confirmado la presencia de números completos de tarjetas, códigos de seguridad, saldos de reembolsos por compras, fechas de nacimiento, géneros ni historiales detallados de compras como categorías de datos estructurados. Los campos financieros se confirmaron en la investigación regional y no debe suponerse que estén presentes en todos los registros a escala mundial.

El incidente comenzó cuando una clave de acceso a la nube con todos los privilegios se guardó por accidente en un repositorio privado de código fuente en junio de 2019. Se eliminó del archivo visible, pero permaneció en el historial de cambios y no se desactivó por completo durante la rotación. Unos 15 meses después, el 9 de septiembre de 2020, un atacante la utilizó para entrar en el entorno de la nube, modificar la configuración de seguridad y extraer registros de clientes. ShopBack detectó el acceso durante una revisión rutinaria el 17 de septiembre; esta sigue siendo la fecha de referencia de la filtración, mientras que el 9 de septiembre figura como la fecha del ataque. La empresa eliminó la clave, rotó las credenciales de acceso y obligó a todos los clientes a cerrar sesión y restablecer sus contraseñas. La base de datos se puso a la venta el 12 de noviembre de 2020. La cifra de 20 529 819 corresponde al total mundial de direcciones de correo electrónico únicas; la cifra de más de 1,4 millones indicada por el organismo regulador corresponde a Singapur y no debe sumarse a ese total. Esta distinción evita que los recuentos regionales inflen el total mundial de registros.

El principal grupo en riesgo está formado por quienes crearon una cuenta de ShopBack antes de 2020 y facilitaron una dirección de correo electrónico, un número de teléfono o un país. Quienes reutilizaron su contraseña de ShopBack en servicios de correo electrónico, compras, viajes o finanzas corren un mayor riesgo de que alguien tome el control de sus cuentas. La investigación en Singapur identificó aproximadamente 1,4 millones de direcciones de correo electrónico, 840 000 nombres, 450 000 números de teléfono móvil, 300 000 cuentas bancarias y 380 000 registros con datos parciales de tarjetas; no debe suponerse que se disponga de todos los campos para cada persona. El correo electrónico, el teléfono y la vinculación con un servicio de reembolsos por compras pueden servir para elaborar mensajes falsos sobre saldos, retiros, devoluciones o promociones. Los datos financieros parciales pueden hacer que las llamadas de suplantación parezcan proceder de un banco o del emisor de una tarjeta. Dejar de utilizar la cuenta no elimina el riesgo, porque los datos de contacto y las contraseñas reutilizadas pueden seguir siendo válidos durante años. Los registros no contienen todos la misma cantidad de información, por lo que una coincidencia de correo electrónico, por sí sola, no demuestra que se hayan expuesto todos los campos enumerados para esa persona.

Si no ha cambiado su contraseña de ShopBack desde 2020, sustitúyala ahora por una contraseña larga y única. Cambie las credenciales similares en otras cuentas, empezando por su correo electrónico principal y los servicios de compras y finanzas. Inicie el restablecimiento desde la aplicación o desde una dirección oficial que escriba usted mismo, en lugar de utilizar un enlace de un mensaje inesperado. Cierre las sesiones activas, verifique el correo electrónico y el teléfono de recuperación, y active la autenticación multifactor donde esté disponible. Los clientes que facilitaron información bancaria o de tarjetas deben vigilar la actividad y las alertas de sus cuentas, y ponerse en contacto con la entidad financiera a través de su canal oficial si aparece una transacción que no reconocen. Nunca facilite una contraseña, un código de un solo uso, un número completo de tarjeta ni un código de seguridad en respuesta a un mensaje que afirme estar relacionado con reembolsos por compras, retiros, devoluciones o promociones.

Un gestor de contraseñas que genere una contraseña distinta para cada servicio evita que un hash antiguo permita acceder a otras cuentas. Como el correo electrónico controla la recuperación de los servicios financieros y de compras, protéjalo con su contraseña más segura y un segundo factor robusto, como una aplicación de autenticación o una llave de seguridad. Active las notificaciones bancarias y de tarjetas, investigue incluso los pequeños cargos de prueba y revise periódicamente la información de recuperación. Cierre las cuentas de compras que ya no utilice y evite conservar datos opcionales de teléfono, ubicación o pago. La vigilancia de filtraciones, la revisión de sesiones y la capacidad de reconocer intentos de suplantación de identidad ofrecen protección duradera. Tome en serio los mensajes dirigidos específicamente a usted incluso años después, porque los conjuntos de datos robados pueden copiarse, revenderse y combinarse con información más reciente.

Compruebe su dirección de correo electrónico con LeakData para saber si coincide con un registro de ShopBack o de otra filtración verificada. Una coincidencia sitúa la dirección entre las 20 529 819 direcciones de correo electrónico únicas del recuento de referencia; no demuestra que usted forme parte del subconjunto de Singapur, de aproximadamente 1,4 millones de personas, ni que los campos bancarios y de datos parciales de tarjetas le correspondan. Revise la fecha y las categorías de datos, considere dónde reutilizó su contraseña de 2020 y empiece por las cuentas que controlan su correo electrónico y su dinero. Nunca introduzca una contraseña, un número de cuenta bancaria ni información de tarjetas en el campo de búsqueda; basta con una dirección de correo electrónico. La vigilancia continua puede detectar datos publicados o puestos de nuevo en circulación más adelante. Siga utilizando contraseñas únicas, autenticación multifactor y alertas de transacciones incluso cuando no aparezca ninguna coincidencia.