Filtración de datos de Tracki

En este registro se han verificado direcciones de correo electrónico y nombres. El historial de ubicaciones, los identificadores de dispositivos y los datos de seguimiento en tiempo real no figuran entre estas categorías de datos. Esta distinción es importante: aunque el contexto de un servicio GPS pueda parecer más sensible, no debe afirmarse ante el usuario que se han filtrado datos de ubicación sin pruebas que lo respalden.

La combinación de correo electrónico y nombre puede utilizarse en mensajes falsos de verificación de cuentas, vinculación de dispositivos, renovación de suscripciones o alertas de seguridad. Por la naturaleza del servicio Tracki, los atacantes pueden dirigirse al usuario con mensajes sobre dispositivos GPS, seguimiento de familiares o vehículos, o pagos de suscripciones.

La fecha del incidente consta como el 15 de agosto de 2024, y el número de direcciones de correo electrónico afectadas es de 372 557. Los registros fiables de filtraciones indican que varias vulnerabilidades relacionadas con Tracki expusieron nombres y direcciones de correo electrónico. Aunque algunos informes hablan de investigaciones más amplias, los campos verificados en este registro se limitan a nombres y direcciones de correo electrónico.

Al explicar el alcance, no deben añadirse a este registro el historial de ubicaciones ni los datos de movimiento de los dispositivos. Desde la perspectiva del usuario, el riesgo práctico son los mensajes de phishing dirigidos, elaborados en el contexto de una cuenta de Tracki o un dispositivo GPS. Para informar con precisión, es necesario ceñirse a las categorías de datos verificadas.

Los usuarios en riesgo son quienes han abierto una cuenta de Tracki, utilizado un dispositivo GPS o facilitado un correo electrónico para gestionar dispositivos. Los usuarios que realizan un seguimiento de familiares, vehículos, mascotas o equipos de trabajo pueden ser más susceptibles a las notificaciones falsas sobre dispositivos.

Los atacantes pueden enviar mensajes sobre conexión de dispositivos, renovación de suscripciones, cargos de la SIM, alertas de seguridad o actualizaciones de la aplicación utilizando un nombre real y el contexto del servicio. El usuario debe verificar estos mensajes a través de la aplicación oficial.

Los usuarios cuya dirección de correo electrónico aparezca en este registro deben comprobar que utilizan una contraseña única en su cuenta de Tracki y revisar la configuración de seguridad de los servicios de IoT o seguimiento que utilicen con el mismo correo electrónico. Las conexiones de dispositivos o los mensajes de pago deben verificarse desde el panel oficial.

En lugar de abrir directamente los enlaces recibidos, el usuario debe iniciar sesión a través de la dirección web conocida o de la aplicación oficial del servicio correspondiente. Que una persona que le llame conozca su nombre, correo electrónico, dirección, pedido o información de perfil no demuestra que sea de confianza. No deben compartirse códigos de verificación de un solo uso, datos de tarjetas de pago ni contraseñas de cuentas en ninguna conversación con el soporte.

A largo plazo, el hábito de utilizar un gestor de contraseñas, contraseñas únicas y autenticación de dos factores, así como de eliminar información personal innecesaria de las cuentas, reduce el riesgo. Reutilizar la misma dirección de correo electrónico en distintas plataformas facilita la combinación de datos procedentes de diferentes filtraciones; puede considerarse el uso de un correo electrónico independiente o un alias para las cuentas críticas.

La seguridad de la cuenta en los servicios de localización e IoT debe considerarse crítica. Los usuarios deben revisar periódicamente los permisos para compartir dispositivos, eliminar de la cuenta los dispositivos antiguos y activar la autenticación de dos factores si el servicio la admite.

La comprobación de LeakData indica si la dirección de correo electrónico consultada se encuentra en este registro. Un resultado positivo no significa necesariamente que todos los campos de datos pertenezcan con certeza a ese usuario; sin embargo, es una advertencia suficiente para tomar medidas preventivas. Un resultado negativo solo indica que no hay coincidencias en este conjunto de datos y no descarta la posibilidad de que la dirección aparezca en otras filtraciones.

Un resultado positivo indica que la información de nombre y correo electrónico coincide en el contexto de Tracki. Un resultado negativo significa que no hay coincidencias en este registro; también debe comprobarse si el mismo correo electrónico aparece en otros servicios de IoT o seguimiento.

En los servicios de dispositivos de seguimiento como Tracki, los usuarios deben tener cuidado con los mensajes falsos que utilizan el contexto del servicio. Este registro no contiene historial de ubicaciones; aun así, los atacantes pueden intentar dirigir a los usuarios a enlaces que parecen oficiales mediante asuntos como vinculación de dispositivos, renovación de la SIM, alerta de pago de suscripción o notificación de seguridad. Por ello, todas las operaciones relacionadas con dispositivos y pagos deben gestionarse únicamente desde la aplicación.