Filtración de datos de SuperDraft

Los tipos de datos enumerados en este incidente son: fechas de nacimiento, direcciones de correo electrónico, ubicaciones geográficas, pares de latitud y longitud, contraseñas, información de compras y nombres de usuario. Los datos de latitud y longitud y la información de compras pueden afectar no solo a la cuenta del usuario, sino también a aspectos relacionados con su ubicación física y su historial de transacciones. El uso conjunto de estos campos puede dar lugar a situaciones como la toma de control de cuentas, la ingeniería social, el fraude, ataques dirigidos en el entorno físico o vulneraciones de la privacidad.

Se entiende que las contraseñas están asociadas a valores hash bcrypt; un método de hash robusto reduce el riesgo, pero este persiste si se reutilizan las contraseñas. En los registros que contienen contraseñas, usar las mismas contraseñas o contraseñas similares en otros servicios es uno de los riesgos más importantes. En los registros sin contraseñas, campos como el dispositivo, la ubicación, el teléfono, la dirección, la formación académica, las solicitudes de empleo o el contexto financiero pueden hacer que los mensajes dirigidos resulten más convincentes.

El registro abarca aproximadamente 300 000 cuentas de clientes asociadas al dominio superdraft.io. El incidente está clasificado como un registro verificado. Al evaluar su alcance, se comprobaron por separado el número de cuentas, el dominio, el sector, el país y las categorías de datos. Los campos de datos que se muestran al usuario se limitaron a los que realmente figuran en el registro.

El campo de latitud y longitud, que faltaba en el registro anterior, se ha añadido a las categorías de datos. Esta delimitación es especialmente importante cuando hay nombres de marcas similares, registros que abarcan varios servicios o sectores sensibles. El registro no se ha fusionado con otro incidente ni se ha ampliado de una forma que genere registros duplicados, y el contexto de la empresa se ha aclarado en la medida de lo posible.

Están en riesgo los clientes de SuperDraft que utilizan el mismo nombre de usuario en cuentas de deportes o juegos, así como los usuarios cuyos datos incluyen información de ubicación. El principal riesgo para estas personas es que los datos filtrados puedan vincularse con información compartida entre sus distintas cuentas. Cuando se repiten la misma dirección de correo electrónico, el número de teléfono, el nombre de usuario, el ID del dispositivo o la contraseña, los atacantes pueden intentar utilizar esos datos en otros servicios.

El contexto de los deportes de fantasía puede aprovecharse mediante mensajes falsos sobre premios, pagos, canjes o verificación de cuentas. En el caso de los usuarios corporativos, destacan el correo electrónico laboral y la información sobre sus tareas; en el de los usuarios particulares, cobran relevancia la dirección, la fecha de nacimiento, las compras, la ubicación o el contexto de afiliación. En ámbitos como la educación, las telecomunicaciones, las finanzas, los viajes, la política, las solicitudes de empleo y las VPNs, el propio contexto también puede aumentar el riesgo de ataques dirigidos.

Los usuarios afectados deben cambiar sus contraseñas, revisar su historial de pagos y compras y comprobar si hay sesiones desconocidas en sus cuentas. Si entre los campos enumerados hay una contraseña o un dato similar, deben cambiarla en todas las cuentas en las que utilicen la misma, usar una contraseña única y activar la autenticación multifactor cuando sea posible. Actuar en una sola plataforma puede no ser suficiente.

Si hay campos como el teléfono, la dirección, la fecha de nacimiento, el ID del dispositivo, la identificación oficial, las solicitudes de empleo o el saldo de recompensas, los usuarios deben revisar la información de recuperación de la cuenta, las sesiones registradas, el reenvío de correo electrónico y los mensajes sospechosos. Las instituciones deben actualizar sus procesos para hacer frente a las alertas a empleados, las facturas falsas y los intentos de verificación de cuentas.

En las cuentas de deportes y juegos con premios, se deben limitar los datos de ubicación y pago cuando no sean necesarios y revisar periódicamente la seguridad de la cuenta. A largo plazo, el uso de un gestor de contraseñas, contraseñas únicas y autenticación multifactor, junto con el cierre de cuentas antiguas, la eliminación de campos de perfil innecesarios y la minimización de datos, constituyen la base de la seguridad. Dado que los datos personales permanentes no se pueden recuperar, la protección depende de reforzar las prácticas de uso de las cuentas.

Las empresas e instituciones deben reconsiderar el inventario posterior al incidente, los permisos de acceso, el almacenamiento de datos antiguos, los procesos de notificación y el uso de plataformas de terceros. Para los usuarios, evitar repetir la misma información de identidad en distintos servicios y adquirir el hábito de verificar las comunicaciones sospechosas por un canal alternativo ofrece una protección duradera.

Si los datos del usuario coinciden con este registro, debe revisar todas las cuentas de deportes, juegos y pagos en las que utilice la misma combinación de correo electrónico y contraseña. Si encuentra una coincidencia, debe consultar primero qué campos de datos se enumeran y después priorizar las medidas en función de esos campos. Si hay una contraseña, la prioridad debe ser cambiarla; si hay una identificación oficial, vigilar su uso; si hay información de ubicación o del dispositivo, reforzar la seguridad del dispositivo; y si hay información sobre formación académica o solicitudes de empleo, revisar las cuentas institucionales.

Evaluación final: este registro se ha clasificado como sensible porque combina campos de contraseña, fecha de nacimiento, compras y ubicación. El usuario debe contrastar este registro con el historial de sus cuentas y revisar individualmente los servicios en los que utiliza el mismo correo electrónico, número de teléfono, nombre de usuario o contraseña. Después del incidente, las llamadas, los mensajes, los correos electrónicos y las notificaciones de recuperación de cuenta inesperados deben considerarse de mayor riesgo.