Filtración de datos de Ualabee

La combinación de la dirección de correo electrónico, el nombre, el número de teléfono, la fecha de nacimiento y la foto de perfil presentes en este registro aumenta considerablemente el riesgo de phishing. La foto de perfil y la fecha de nacimiento pueden ayudar a un atacante a crear mensajes que resulten más personales y fiables para el usuario. Por su parte, el número de teléfono facilita el contacto mediante SMS, aplicaciones de mensajería y llamadas.

Al combinar campos como el nombre, el correo electrónico, el teléfono o la dirección, los atacantes pueden contactar con el usuario como si existiera una relación auténtica con un servicio. Esta información, por sí sola, no demuestra que se haya tomado el control de una cuenta; sin embargo, ofrece un punto de partida sólido para mensajes de soporte falsos, notificaciones de entrega, intentos de restablecimiento de contraseñas y maniobras de fraude personalizadas. En el registro no se mencionan contraseñas ni datos de tarjetas de pago; aun así, campos como la fecha de nacimiento y la foto de perfil pueden utilizarse en situaciones de recuperación de cuentas, procesos de autenticación falsos e ingeniería social. Conviene evaluar con especial cuidado las campañas relacionadas con la movilidad, las notificaciones de rutas, las actualizaciones de suscripciones y los mensajes de verificación de aplicaciones.

La fecha del incidente es el 6 de mayo de 2025 y el número de cuentas de correo electrónico afectadas que consta en el registro es de 472 296. Los registros de seguridad indican que los datos se recopilaron a través de una interfaz de la plataforma y que los campos expuestos incluyen la fecha de nacimiento, el correo electrónico, el nombre, el número de teléfono y la foto de perfil. Dado que estos campos coinciden con los del registro existente, se mantiene su estado de verificado.

Al explicar el alcance, no debe darse por hecho que todos los campos estén presentes en cada fila. Algunos registros pueden carecer de foto de perfil o de información telefónica. Además, esto no significa que se hayan filtrado datos de los sistemas de pago ni contraseñas en texto plano. El riesgo real para el usuario es el posible uso indebido de la información personal de contacto y de perfil vinculada a su cuenta de movilidad.

Los usuarios en riesgo son quienes hayan abierto una cuenta de Ualabee, utilizado servicios de movilidad o compartido información telefónica o de perfil. Como las aplicaciones de transporte cotidiano pueden generar mensajes muy relacionados con la rutina del usuario, los mensajes falsos sobre rutas, billetes, suscripciones, notificaciones o campañas pueden resultar más convincentes.

Los usuarios cuya fecha de nacimiento y foto de perfil estén incluidas también deben tener en cuenta el riesgo de que esos datos se utilicen para crear cuentas falsas, adivinar respuestas a preguntas de verificación de identidad o vincular su información con perfiles en redes sociales. Si el número de teléfono está actualizado, el riesgo no se limita al correo electrónico: también pueden recibir SMS y llamadas dirigidos a ellos.

Si sus datos coinciden con los del registro, compruebe que utiliza una contraseña única en su cuenta de Ualabee y cámbiela si ha usado la misma en otras cuentas. Aunque el registro no contenga una contraseña, la dirección de correo electrónico puede combinarse con otros conjuntos de datos. Si utiliza la fecha de nacimiento en las preguntas de recuperación de la cuenta, actualice esas preguntas.

En lugar de abrir directamente los enlaces que reciba, inicie sesión desde la dirección web o la aplicación que ya conoce del servicio correspondiente. Que quien llama conozca su nombre, correo electrónico, dirección o información sobre transacciones anteriores no demuestra que sea de confianza. No comparta códigos de verificación de un solo uso, datos de tarjetas de pago ni contraseñas de cuentas en ninguna conversación con soporte.

A largo plazo, el uso de un gestor de contraseñas, contraseñas únicas, autenticación de dos factores en las cuentas que lo permitan y el hábito de eliminar información personal innecesaria de las cuentas reducen el riesgo. Reutilizar la misma dirección de correo electrónico en distintas plataformas facilita la combinación de datos de diferentes filtraciones; por ello, puede considerar el uso de direcciones de correo o alias independientes para las cuentas más importantes.

Como campos tales como la foto de perfil y la fecha de nacimiento no cambian con el tiempo, el impacto de este incidente no debe considerarse de corta duración. Reduzca la información de perfil innecesaria que esté disponible públicamente en redes sociales y cuentas de movilidad, y active capas de seguridad adicionales en los servicios donde se inicia sesión con un número de teléfono.

La comprobación de LeakData muestra si la dirección de correo electrónico consultada aparece o no en este registro. Un resultado positivo no significa necesariamente que todos los datos correspondan con certeza a ese usuario; sin embargo, debe considerarse una advertencia suficiente para tomar precauciones. Un resultado negativo solo indica que no hay coincidencias en este conjunto de datos y no descarta la posibilidad de aparecer en otras filtraciones.

Si obtiene un resultado positivo, preste especial atención a los mensajes relacionados con la movilidad, el transporte, las campañas y la verificación de aplicaciones. Si la dirección de correo electrónico no aparece, no hay coincidencias en este registro concreto; no obstante, como el mismo teléfono o correo electrónico puede estar implicado en otras filtraciones, conviene mantener una supervisión periódica.