Filtración de datos de Zacks (2024)

Los tipos de datos que figuran en este incidente son: direcciones de correo electrónico, direcciones IP, nombres, contraseñas, números de teléfono, direcciones físicas y nombres de usuario. Los datos de cuentas vinculadas al interés por las inversiones pueden utilizarse en alertas falsas sobre carteras de inversión, informes de mercado o mensajes de verificación de cuentas. La presencia conjunta de estos campos puede facilitar a los atacantes la preparación de notificaciones falsas sobre cuentas, fraudes, cruces de identidades o intentos de ingeniería social dirigidos a personas concretas.

Se entiende que las contraseñas están asociadas a valores hash SHA-256 sin sal; esto supone un riesgo considerable para las contraseñas débiles. Si no hay una contraseña, el riesgo no desaparece por completo: una dirección, un número de teléfono, una fecha de nacimiento, información del dispositivo, un perfil laboral, un programa de fidelización, la actividad web o la información de compras también pueden bastar para dirigir ataques contra el usuario. Si hay una contraseña, debe comprobarse con urgencia si se reutiliza en otros servicios.

El registro abarca aproximadamente 11,99 millones de direcciones de correo electrónico únicas pertenecientes al conjunto de datos de 2024 asociado al dominio zacks.com. El incidente pertenece a la categoría de registros confirmados. El alcance se determina comparando el dominio, el contexto de la empresa, el país, el sector, el número de cuentas y las categorías de datos. Los campos que se muestran al usuario se limitan a los que figuran en el registro.

Este registro se ha mantenido separado del incidente anterior de Zacks y se ha actualizado con el alcance del conjunto de datos de 2024. En algunos incidentes, la verificación por parte de la empresa puede ser limitada o el conjunto de datos puede haberse difundido en entornos de terceros. En este caso, la explicación se centra en los aspectos que reflejan el riesgo real para el usuario, sin exagerar los puntos inciertos.

Están en riesgo los usuarios de Zacks, las personas con una cuenta de análisis de inversiones y quienes utilizan la misma contraseña en cuentas de servicios financieros o de correo electrónico. El principal riesgo para estos usuarios es que los campos filtrados se crucen con datos que también utilizan en otras plataformas. Si el mismo correo electrónico, número de teléfono, nombre de usuario, dirección, perfil social o contraseña se repite en distintas cuentas, aumenta la superficie de ataque.

El contexto financiero puede aprovecharse de forma fraudulenta en informes falsos, recomendaciones de inversión o mensajes sobre bloqueos de cuentas, suscripciones o pagos. Los contextos de videojuegos, comercio minorista, pagos, perfiles sociales, viajes, inversiones, aerolíneas y salud y bienestar generan riesgos distintos. El usuario debe tener en cuenta no solo la lista de dominios, sino también a qué cuenta o servicio están asociados.

Los usuarios afectados deben cambiar sus contraseñas y revisar el historial de inicios de sesión en sus cuentas de servicios financieros y de correo electrónico. Si figura una contraseña o un campo similar a una contraseña, deben cambiarla en todas las cuentas en las que utilicen la misma o una parecida, utilizar una contraseña única y activar la autenticación multifactor cuando sea posible. También deben proteger la cuenta de correo electrónico.

Si hay campos como dirección, número de teléfono, fecha de nacimiento, dispositivo, perfil empresarial, compras o programa de fidelización, los usuarios deben revisar las opciones de recuperación de la cuenta, el historial de sesiones, las reglas de reenvío y los mensajes sospechosos. Las solicitudes de verificación y de documentos recibidas en contextos financieros, de pagos o de aerolíneas deben confirmarse por un segundo canal.

En las cuentas de inversiones y de servicios financieros deben utilizarse siempre contraseñas únicas y mantenerse activadas la autenticación multifactor y las alertas de transacciones. A largo plazo, las medidas de protección fundamentales son utilizar un gestor de contraseñas, contraseñas únicas y autenticación multifactor, cerrar las cuentas antiguas y eliminar los campos innecesarios del perfil. Dado que los datos personales permanentes no pueden recuperarse, deben reforzarse los hábitos del usuario y la configuración de las cuentas.

Las instituciones deben auditar periódicamente la minimización de datos, el plazo de conservación de los registros de clientes antiguos, los permisos de las cuentas en foros y comunidades, los campos de los programas de fidelización y los procesos de notificación de incidentes. Por parte del usuario, no utilizar los mismos datos de identidad en todas partes reduce el riesgo de forma permanente.

Si sus datos coinciden con este registro, revise, además de su cuenta de Zacks, todos los servicios financieros en los que utilice la misma contraseña. Si aparece una coincidencia, lea qué campos de datos figuran y determine el orden de las medidas según esa información. Si hay una contraseña, la prioridad es cambiarla; si hay una dirección o un número de teléfono, la prioridad es una alerta de fraude; si hay información financiera o de pagos, la prioridad es supervisar la cuenta; si hay un perfil social, la prioridad es revisar los controles de privacidad.

Evaluación final: Este registro corresponde a un incidente sensible relacionado con cuentas financieras, ya que contiene IP, direcciones, teléfonos y valores hash de contraseñas sin sal. Compare este registro con el historial de su cuenta y revise por separado los servicios en los que utilice el mismo correo electrónico, número de teléfono, nombre de usuario, dirección o contraseña. Tras el incidente, cualquier llamada, correo electrónico, mensaje o notificación de recuperación de cuenta que resulte sospechoso debe considerarse de mayor riesgo.