Filtración de datos de Straffic

Los campos de datos verificados son direcciones de correo electrónico, información sobre el género, nombres, números de teléfono y direcciones físicas. Disponer de un nombre junto con una dirección de correo electrónico basta para crear mensajes que parezcan dirigidos a una persona concreta y personalizados. Si se añade un número de teléfono, el riesgo deja de limitarse al correo electrónico y se extiende a canales como los SMS, las llamadas automáticas, las interacciones con falsos representantes de atención al cliente y las notificaciones de entrega. Una dirección física puede utilizarse en facturas falsas, suscripciones fraudulentas, ofertas de servicios locales o intentos de engaño basados en la ubicación.

La información sobre el género puede no parecer sensible por sí sola; sin embargo, al combinarse con el nombre, el correo electrónico, el teléfono y la dirección, permite enriquecer el perfil de una persona. Los atacantes pueden combinar estos campos para crear mensajes más convincentes sobre su zona de residencia, sus hábitos de comunicación y sus posibles intereses. En este incidente, las categorías de datos confirmadas no incluyen contraseñas, tarjetas de pago, cuentas bancarias ni números de identificación oficial. Esta distinción es importante: el riesgo no debe describirse como un caso de cuenta comprometida mediante una contraseña, sino centrarse en los riesgos de fraude y privacidad derivados de los datos de contacto y de dirección.

El número de cuentas verificadas para la brecha de sTraffic corresponde a 48 580 249 direcciones de correo electrónico únicas. La fecha registrada del incidente es el 14 de febrero de 2020, y la fecha de incorporación del registro verificado es el 27 de febrero de 2020. El incidente está relacionado con el acceso a registros de contacto que se encontraban en un repositorio de datos de búsqueda de gran volumen. El volumen de datos comunicado ronda los 140 GB, y el número total de filas puede superar el de direcciones de correo electrónico únicas; no obstante, en las búsquedas relacionadas con la seguridad de los usuarios, la identificación básica de coincidencias con personas debe basarse en el número de direcciones de correo electrónico únicas.

Los campos de datos verificados se limitan a direcciones de correo electrónico, información sobre el género, nombres, números de teléfono y direcciones físicas. No cabe esperar que todos los campos estén completos para cada persona: en los conjuntos de datos de marketing, algunas personas pueden tener únicamente un correo electrónico, mientras que otras también pueden tener datos de teléfono o dirección. Las contraseñas, las cuentas financieras, las tarjetas de pago, los datos de salud y los identificadores oficiales quedan fuera del alcance verificado de esta brecha. Por tanto, conviene recomendar a los usuarios que revisen sus canales de comunicación, la exposición de sus direcciones y los riesgos de ingeniería social, en lugar de generar una alarma financiera innecesaria.

Las personas que llevan muchos años utilizando la misma dirección de correo electrónico y el mismo número de teléfono son las que corren mayor riesgo. Como los datos de marketing pueden cruzarse con distintas listas a lo largo del tiempo, un registro de contacto antiguo puede reutilizarse en mensajes fraudulentos actuales. El riesgo es aún mayor para quienes utilizan una dirección de correo electrónico laboral: combinada con el nombre, el teléfono y la dirección física, puede emplearse en ataques con apariencia profesional, como mensajes de falsos proveedores, ofertas falsas, facturas falsas o invitaciones a reuniones.

Las personas cuyo número de teléfono y dirección física figuren en el conjunto de datos también deben estar atentas a fraudes por SMS, notificaciones de envío falsas, alertas de suscripción falsas y llamadas que ofrecen servicios locales. Se ha informado de que se incluyen registros de contacto vinculados a Europa y América; por tanto, los usuarios de distintas regiones pueden afrontar riesgos similares. Incluso quienes nunca han oído hablar de Straffic pueden verse afectados, ya que sus datos podrían haberse recopilado o transferido a través de la red de marketing de datos. Esto significa que las notificaciones de empresas desconocidas no deben considerarse falsas de forma automática, sino examinarse con cuidado.

Si aparece una coincidencia con Straffic, el primer paso es adoptar el hábito de verificar con mayor rigor los mensajes sospechosos recibidos por correo electrónico y teléfono. No haga clic directamente en los enlaces de mensajes que se presenten en nombre de un banco, una empresa de transporte, un servicio de suscripción, un servicio público, una oferta de empleo o un servicio local. Si quien llama le pide información personal, un código de un solo uso, datos de su tarjeta o acceso remoto, termine la llamada y verifique la solicitud, preferiblemente a través del canal de comunicación oficial de la entidad. Los mensajes que incluyan su dirección física pueden parecer más convincentes; por ello, el mero hecho de conocer su dirección no debe considerarse una garantía de seguridad.

Las contraseñas no figuran entre los campos verificados de esta brecha; aun así, quienes utilicen en sus contraseñas elementos fáciles de adivinar, como la dirección, el lugar de nacimiento, el barrio, el nombre de la calle o el número de teléfono, deben actualizarlas. Revise en su cuenta de correo electrónico las reglas de reenvío desconocidas, las direcciones de recuperación y el historial de sesiones. Si recibe demasiados mensajes no deseados en su teléfono, puede activar las opciones de bloqueo de su operador, los filtros de spam y las alertas de llamadas de confianza. También conviene reducir la presencia de su dirección en perfiles públicos y anuncios antiguos.

El objetivo a largo plazo es dificultar que una sola filtración de datos permita contactar con una persona por distintos canales. Proporcione su número de teléfono real y su dirección principal de correo electrónico en los formularios de registro solo cuando sea obligatorio. Puede optar por alias de correo electrónico distintos para boletines, campañas, sorteos y servicios de un solo uso. No introduzca su número de teléfono innecesariamente en campos que no desee completar, y comparta su dirección física solo cuando sea necesaria para una entrega o para cumplir obligaciones legales. Este enfoque reduce el riesgo en cadena derivado de las listas de marketing.

En el ámbito empresarial, debe vigilarse periódicamente si las direcciones de correo electrónico laboral de los empleados aparecen en listas de marketing de terceros. Los equipos de seguridad deben prestar atención no solo a las filtraciones de contraseñas, sino también a la exposición de datos personales, incluidos los números de teléfono y las direcciones. Los fraudes mediante facturas falsas o suplantación de proveedores suelen llevarse a cabo con los datos correctos de la persona y de contacto, sin necesidad de una contraseña. Por ello, la seguridad del correo electrónico, los procedimientos de verificación telefónica, la concienciación de los empleados y la minimización de datos deben abordarse de forma conjunta.

Puede consultar su dirección de correo electrónico en LeakData para comprobar si existe una coincidencia con la brecha de Straffic. Si la hay, significa que su dirección de correo electrónico figura en este conjunto de datos; no sería correcto extraer una conclusión definitiva sobre la presencia de su teléfono, dirección física o cualquier otro campo. Aun así, una coincidencia indica que sus datos de contacto podrían haberse encontrado en un conjunto de datos procedente del marketing. Por tanto, examine con mayor atención los mensajes sospechosos que utilicen su correo electrónico, teléfono y dirección.

No debe ampliarse el alcance de la brecha de Straffic para presentarla como una filtración de contraseñas o tarjetas de pago; la comunicación de los riesgos se basa en los datos de contacto y de perfil verificados. Las medidas más adecuadas para este incidente son comprobar si hay solicitudes falsas que utilicen su dirección de correo electrónico, número de teléfono y dirección física, reducir la divulgación innecesaria de datos, mantener activos los filtros de spam y cerrar los perfiles antiguos expuestos. Si su información también aparece en otras brechas, los campos de datos de cada incidente deben evaluarse por separado: una sola coincidencia no significa que se hayan robado las contraseñas de todas sus cuentas.