Filtración de datos de Tangerine

Los tipos de datos enumerados en este incidente son: fechas de nacimiento, direcciones de correo electrónico, nombres, contraseñas, números de teléfono, direcciones físicas e información sobre el tratamiento de cortesía. El teléfono y la dirección son datos personales persistentes que pueden utilizarse en los procesos de verificación de cuentas de telecomunicaciones. El uso conjunto de estos campos puede dar lugar a la toma de control de cuentas, ingeniería social, fraude, acciones dirigidas contra personas en el mundo físico o vulneraciones de la privacidad.

Según la información disponible, el campo de contraseña tradicional utilizado en el pasado contiene el valor hash bcrypt; si se utilizó la misma contraseña en otras cuentas, debe cambiarse. En los registros que contienen contraseñas, uno de los riesgos más críticos es el uso de contraseñas iguales o similares en otros servicios. En los registros sin contraseñas, los campos relativos al dispositivo, la ubicación, el teléfono, la dirección, la educación, las solicitudes de empleo o el contexto financiero pueden hacer más convincentes los mensajes dirigidos a personas concretas.

El registro abarca aproximadamente 243 000 registros de clientes asociados al dominio tangerinetelecom.com.au. El incidente está clasificado como un registro confirmado. Al evaluar su alcance, se comprobaron por separado el número de cuentas, el nombre de dominio, el sector, el país y las categorías de datos. Los campos de datos que se muestran al usuario se limitaron a los que realmente figuran en el registro.

El sector se ha corregido a telecomunicaciones y prestación de servicios de internet en Australia, en lugar de «otros». Esta delimitación es especialmente importante cuando hay marcas con nombres similares, registros que abarcan varios servicios o sectores sensibles. El registro no se ha fusionado con otro incidente ni se ha ampliado de una forma que pudiera generar duplicados, y se ha aclarado el contexto de la empresa en la medida de lo posible.

Los clientes de Tangerine que utilizan la misma combinación de teléfono y correo electrónico para cuentas bancarias o de organismos públicos están en riesgo. El principal riesgo para estas personas es que los datos filtrados puedan vincularse con información común utilizada en otras cuentas. Cuando se repiten la misma dirección de correo electrónico, el número de teléfono, el nombre de usuario, el ID del dispositivo o la contraseña, los atacantes pueden intentar utilizar esos datos en distintos servicios.

El contexto de las telecomunicaciones puede aprovecharse mediante mensajes falsos sobre verificación de líneas, facturación, módems, cambios de SIM o verificación de identidad. En el caso de los usuarios corporativos, destacan el correo electrónico laboral y la información sobre el empleo; para los usuarios particulares, cobran relevancia la dirección, la fecha de nacimiento, las compras, la ubicación o el contexto de sus afiliaciones. En ámbitos como la educación, las telecomunicaciones, las finanzas, los viajes, la política, las solicitudes de empleo y las VPNs, el propio contexto también puede aumentar el riesgo de ataques dirigidos.

Los usuarios afectados deben revisar la configuración de seguridad de su cuenta de telecomunicaciones, las sesiones de correo electrónico y las solicitudes de verificación recibidas por teléfono. Si se incluye una contraseña o un campo similar al de contraseña, deben cambiarla en todas las cuentas donde utilicen la misma, usar una contraseña única y activar la autenticación multifactor siempre que sea posible. Actuar en una sola plataforma puede no ser suficiente.

Si hay campos como teléfono, dirección, fecha de nacimiento, ID del dispositivo, documento de identidad oficial, solicitud de empleo o saldo de recompensas, los usuarios deben revisar la información de recuperación de cuentas, las sesiones registradas, el reenvío de correo electrónico y los mensajes sospechosos. Las instituciones deben actualizar sus procesos para hacer frente a las alertas a empleados, las facturas falsas y los intentos de verificación de cuentas.

Los códigos PIN robustos para clientes, la autenticación multifactor y las alertas de cambios de SIM en las cuentas de telecomunicaciones ofrecen protección a largo plazo. El uso de un gestor de contraseñas, contraseñas únicas y autenticación multifactor, junto con el cierre de cuentas antiguas, la eliminación de campos de perfil innecesarios y la minimización de datos, constituye la base de la seguridad a largo plazo. Como los datos personales permanentes no se pueden recuperar, la protección depende de reforzar las prácticas de uso de las cuentas.

Las empresas e instituciones deben reconsiderar el inventario posterior al incidente, los permisos de acceso, el almacenamiento de datos antiguos, los procesos de notificación y el uso de plataformas de terceros. Por su parte, los usuarios pueden obtener una protección duradera si evitan repetir la misma información de identidad en distintos servicios y adoptan el hábito de verificar las comunicaciones sospechosas a través de un segundo canal.

Si sus datos coinciden con los de este registro, debe prestar atención a las solicitudes de verificación falsas que pueda recibir a través de su línea telefónica y su cuenta de correo electrónico. Si detecta una coincidencia, primero debe comprobar qué campos de datos se enumeran y después priorizar las medidas en función de esos campos. Si hay una contraseña, debe dar prioridad a cambiarla; si hay un documento de identidad oficial, al seguimiento de ese documento; si hay información sobre la ubicación o el dispositivo, a la seguridad del dispositivo; y si hay datos educativos o una solicitud de empleo, a la verificación de la cuenta en la institución correspondiente.

Evaluación final: este registro corresponde a un incidente de datos sensibles en el sector de las telecomunicaciones, ya que combina campos de fecha de nacimiento, dirección, número de teléfono y contraseña. Debe comparar este registro con su propio historial de cuentas y revisar individualmente los servicios en los que utilice la misma dirección de correo electrónico, número de teléfono, nombre de usuario o contraseña. Tras el incidente, las llamadas, los mensajes, los correos electrónicos o las notificaciones de recuperación de cuentas que no espere deben considerarse de mayor riesgo.