Filtración de datos de Yonéma

Los tipos de datos enumerados en este incidente son: fechas de nacimiento, información de dispositivos, direcciones de correo electrónico, direcciones IP, nombres, contraseñas y números de teléfono. La información de dispositivos e IP puede utilizarse para crear mensajes falsos de verificación o confirmación de transacciones relacionados con una cuenta de pagos. La presencia conjunta de estos campos puede facilitar a los atacantes la preparación de notificaciones de cuenta falsas, fraudes, vinculaciones de identidades o intentos dirigidos de ingeniería social.

Se entiende que el campo de contraseña contiene valores cifrados; si se ha utilizado la misma contraseña en otras cuentas, también debe cambiarse en ellas. Aunque no se incluya una contraseña, el riesgo no desaparece por completo; la dirección, el número de teléfono, la fecha de nacimiento, la información del dispositivo, el perfil laboral, el programa de fidelización, la actividad web o la información de compras también pueden bastar para dirigir ataques contra el usuario. Si se incluye una contraseña, debe comprobarse con urgencia si se utiliza la misma en otros servicios.

El registro abarca aproximadamente 36 000 direcciones de correo electrónico únicas asociadas al dominio yonema.com. El incidente está clasificado como un registro verificado. El alcance se ha determinado comparando el dominio, el contexto de la empresa, el país, el sector, el número de cuentas y las categorías de datos. Los campos que se muestran al usuario se limitan a los enumerados en el registro.

Para esta plataforma de pagos y tecnología financiera del sector financiero general, se ha corregido el país a Senegal. En algunos casos, la verificación de la empresa puede ser limitada o el conjunto de datos puede haberse distribuido en entornos de terceros. En este caso, la explicación se centra en los aspectos que reflejan el riesgo real para el usuario, sin exagerar los puntos inciertos.

Están en riesgo los usuarios de Yonéma, las personas que tienen una cuenta de pagos y los usuarios cuyos campos de teléfono o fecha de nacimiento quedaron expuestos. El principal riesgo para estos usuarios es que los campos filtrados se relacionen con información utilizada habitualmente en otras plataformas. Si se repiten el mismo correo electrónico, teléfono, nombre de usuario, dirección, perfil social o contraseña en distintas cuentas, aumenta la superficie de ataque.

El contexto de los pagos puede aprovecharse para enviar mensajes falsos de confirmación de transacciones, verificación de cuentas, transferencias de dinero o solicitudes de documentos. Los contextos de juegos, comercio minorista, pagos, perfiles sociales, viajes, inversiones, aerolíneas y salud y bienestar generan riesgos distintos. El usuario debe considerar no solo la lista de campos, sino también la cuenta o el servicio al que están asociados.

Los usuarios afectados deben revisar sus cuentas de pagos, los mensajes de verificación telefónica y las sesiones de correo electrónico. Si se enumera una contraseña o un campo similar a una contraseña, deben cambiarla en todas las cuentas en las que utilicen una contraseña igual o parecida, utilizar una contraseña única y activar la autenticación multifactor cuando sea posible. También deben proteger la cuenta de correo electrónico.

Si hay campos como dirección, número de teléfono, fecha de nacimiento, dispositivo, perfil laboral, compras o programa de fidelización, los usuarios deben revisar las opciones de recuperación de la cuenta, el historial de sesiones, las reglas de reenvío y los mensajes sospechosos. Las solicitudes de verificación y de documentos recibidas en contextos financieros, de pagos o de aerolíneas deben confirmarse a través de un segundo canal.

En las cuentas de pagos deben mantenerse de forma continua la autenticación multifactor, las notificaciones de transacciones y el uso de contraseñas únicas. A largo plazo, las principales medidas de protección son un gestor de contraseñas, contraseñas únicas, autenticación multifactor, el cierre de cuentas antiguas y la eliminación de campos innecesarios del perfil. Dado que los datos personales de carácter permanente no pueden recuperarse, deben reforzarse las prácticas del usuario y la configuración de las cuentas.

Las instituciones deben auditar periódicamente la minimización de datos, el plazo de conservación de los registros de clientes antiguos, los permisos de las cuentas de foros y comunidades, los campos de los programas de fidelización y los procesos de notificación de incidentes. Por parte del usuario, no utilizar la misma información de identidad en todas partes reduce el riesgo de forma permanente.

Si los datos del usuario coinciden con este registro, debe revisar los informes de transacciones sospechosas en sus cuentas financieras y de pagos. Si se detecta una coincidencia, debe leer qué campos de datos se enumeran y decidir cómo actuar en función de ellos. Si hay una contraseña, la prioridad es cambiarla; si hay una dirección o un teléfono, la prioridad es una alerta de fraude; si hay datos financieros o de pagos, la prioridad es supervisar la cuenta; si hay un perfil social, la prioridad es revisar los controles de privacidad.

Evaluación final: este registro corresponde a un incidente que afecta a datos financieros sensibles por el contexto de pagos y los campos de dispositivo, IP, teléfono, fecha de nacimiento y contraseña. El usuario debe comparar este registro con su propio historial de cuentas y revisar por separado los servicios en los que utilice el mismo correo electrónico, teléfono, nombre de usuario, dirección o contraseña. Tras el incidente, las llamadas, los correos electrónicos, los mensajes o las notificaciones de recuperación de cuentas que resulten sospechosos deben considerarse de mayor riesgo.