Filtración de datos de Tokopedia

En este incidente quedaron expuestos datos de identidad, como la dirección de correo electrónico, el nombre completo, el género y la fecha de nacimiento, junto con los valores hash de las contraseñas. La combinación del correo electrónico y el nombre completo hace más convincentes los mensajes falsos sobre campañas, pedidos, devoluciones, envíos o cuentas de tiendas. La fecha de nacimiento y la información sobre el género ayudan a los atacantes a crear mensajes personalizados. Aunque los valores hash de las contraseñas están protegidos con SHA2-384, si se reutiliza la misma contraseña en distintos servicios, los atacantes pueden probar contraseñas descifradas o adivinadas en otros sitios. Por tanto, no debe considerarse que el riesgo se limita a la cuenta de Tokopedia; también deben tenerse en cuenta otras cuentas de compras, pagos, redes sociales y correo electrónico que utilicen la misma dirección de correo electrónico.

La fecha de la filtración consta como el 17 de abril de 2020, la fecha de inclusión inicial como el 2 de mayo de 2020 y la fecha de actualización como el 17 de julio de 2020. El alcance principal que utiliza LeakData es de 71 443 698 direcciones de correo electrónico únicas. Algunos informes mencionan un archivo inicial de 15 millones de filas y posteriormente afirman que había alrededor de 91 millones de registros sin procesar; estas cifras pueden diferir del número de direcciones de correo electrónico únicas debido a filas duplicadas, campos ausentes o registros que no contienen correos electrónicos. La cifra que se muestra al usuario en esta página corresponde al número de direcciones de correo electrónico únicas, que es el dato relevante como resultado de búsqueda. Las categorías verificadas se limitan a la fecha de nacimiento, el correo electrónico, el género, el nombre y los valores hash de las contraseñas; los datos de instrumentos de pago no están incluidos en el alcance de esta búsqueda.

El riesgo es mayor para las personas que abrieron una cuenta de Tokopedia antes de 2020, utilizaron servicios de compra o de venta, usaron la misma dirección de correo electrónico en otros servicios y reutilizaron su contraseña. Los usuarios vinculados a servicios de comercio electrónico con sede en Indonesia deben extremar la precaución ante mensajes relacionados con el estado de los pedidos, las devoluciones, la confirmación de pagos, la verificación de cuentas y los cupones promocionales. Para quienes tienen una cuenta de vendedor, el riesgo puede aumentar a través de mensajes de clientes, el panel de la tienda, las notificaciones de pago y las solicitudes falsas de asistencia. Si la misma dirección de correo electrónico también se utiliza en una cuenta bancaria, de mensajería, de redes sociales o de trabajo, los atacantes pueden combinar esta información para intentar acceder a las cuentas y realizar ataques de phishing dirigidos.

Cambie de inmediato la contraseña de su cuenta de Tokopedia y de cualquier otra cuenta creada con la misma contraseña. Utilice una contraseña única, larga y aleatoria para cada cuenta, use un gestor de contraseñas y active la autenticación multifactor en las cuentas críticas. Examine con cuidado los correos electrónicos sobre pedidos, envíos, descuentos, devoluciones, bloqueos de cuentas o verificaciones de pago. En lugar de hacer clic en los enlaces del mensaje, escriba manualmente el dominio oficial y no comparta códigos de un solo uso con nadie por teléfono ni por mensaje. Si utiliza una cuenta de vendedor, revise también las sesiones del panel de la tienda, los dispositivos autorizados y la configuración de pagos. Si recibe una notificación de inicio de sesión sospechoso, cierre las sesiones e inicie el proceso de restablecimiento de la contraseña a través de un canal de confianza.

El riesgo persistente de las filtraciones en el comercio electrónico surge del uso de datos de los perfiles de clientes junto con listas de contraseñas y mensajes de phishing. Los usuarios deben revisar periódicamente sus antiguas cuentas de tiendas, cerrar las que no utilicen, reducir los permisos de marketing y utilizar verificaciones adicionales en las cuentas críticas creadas con la misma dirección de correo electrónico. Desde una perspectiva institucional, se deben conservar los mínimos datos de clientes necesarios, utilizar algoritmos hash de contraseñas robustos y actualizados, aplicar valores de sal y controles de protección adicionales, y supervisar las exportaciones inusuales y las consultas de gran volumen mediante sistemas de alerta temprana. Las notificaciones a los usuarios deben redactarse con claridad, incluir fechas y explicar explícitamente las categorías de datos, para que los usuarios sepan qué cuentas deben revisar.

Puede comprobar si su dirección de correo electrónico coincide con los datos de la filtración de Tokopedia mediante una consulta en LeakData. Si hay una coincidencia, dé prioridad a su cuenta de Tokopedia y, después, a las demás cuentas que utilicen el mismo correo electrónico o la misma contraseña. Además de cambiar su contraseña, es importante que active la autenticación multifactor, revise el historial de sesiones y retire las autorizaciones de dispositivos antiguos. Desconfíe más de los mensajes que contengan detalles personales, ya que su fecha de nacimiento y su nombre quedaron expuestos. Si recibe enlaces inesperados sobre entregas, devoluciones, verificaciones de cuentas o campañas, abra por su cuenta el sitio web oficial antes de introducir sus datos. Estas medidas reducen la probabilidad de que los datos procedentes de 2020 se utilicen hoy para realizar pruebas de acceso a cuentas, enviar notificaciones falsas de compras y cometer fraudes dirigidos.