Filtración de datos de Zoomcar

Las categorías de datos verificadas son direcciones de correo electrónico, direcciones IP, nombres, números de teléfono y contraseñas. El campo de contraseña debe tratarse como datos de contraseñas almacenadas en formato hash bcrypt, no como contraseñas en texto plano. Aunque bcrypt es un método robusto para almacenar contraseñas, no elimina por completo el riesgo cuando estas son débiles o se reutilizan. Si se utiliza la misma contraseña en servicios de correo electrónico, transporte, pagos, redes sociales o cuentas de trabajo, los atacantes pueden dirigir intentos automatizados de inicio de sesión contra esas cuentas.

La combinación de nombre, teléfono y correo electrónico aporta suficiente contexto para realizar ataques de phishing dirigidos. Cuando se puede establecer una relación con un servicio de alquiler de vehículos, los mensajes sobre reservas falsas, confirmaciones de pago, documentación para conducir, avisos de seguridad o solicitudes de asistencia pueden resultar más convincentes. Una dirección IP por sí sola no constituye una prueba definitiva de ubicación; sin embargo, combinada con la actividad de la cuenta, aporta rastros adicionales. La dirección física, la tarjeta de pago, el documento oficial de identidad, la imagen del permiso de conducir, el documento de matriculación del vehículo y el historial de viajes no figuran entre las categorías de datos verificadas para este registro de 2018.

Para el incidente de Zoomcar, el alcance recogido en LeakData debe mantenerse en 3 589 795 cuentas de correo electrónico únicas. Debe registrarse el 1 de julio de 2018 como fecha de la brecha y el 5 de junio de 2020 como fecha de incorporación verificada. No deben añadirse a este registro de 2018 cifras ni campos de datos mencionados en otras noticias o en incidentes de Zoomcar de otros años. Esta distinción es especialmente importante: una misma marca puede sufrir incidentes distintos en fechas diferentes, pero cada incidente debe evaluarse según su propia fecha verificada y sus categorías de datos.

Los campos de datos verificados de este registro son direcciones de correo electrónico, direcciones IP, nombres, contraseñas y números de teléfono. La descripción de la contraseña debe indicar que está almacenada como un hash bcrypt y no debe presentarla como una contraseña en texto plano. La información de pago, la cuenta bancaria, el documento oficial de identidad, el archivo del permiso de conducir, el número de matriculación del vehículo, la dirección física y el historial de ubicación en tiempo real no deben incluirse entre los campos confirmados de este incidente. Delimitar claramente el alcance para el usuario reduce las falsas alarmas y permite centrarse en las medidas de seguridad necesarias.

El mayor riesgo recae en los usuarios que reutilizan en otras cuentas la contraseña de su cuenta de Zoomcar. Cuando se dispone tanto de una dirección de correo electrónico como de un número de teléfono, los atacantes pueden enviar avisos falsos de asistencia, reservas, promociones o deudas por correo electrónico y SMS. Los nombres permiten personalizar los mensajes; la dirección IP, por su parte, puede aportar indicios adicionales sobre el contexto técnico de la cuenta. Por ello, una antigua cuenta de alquiler de vehículos puede afectar a la seguridad de las cuentas de correo electrónico y de servicios móviles que siguen activas.

Las personas que utilizan Zoomcar con una dirección de correo electrónico corporativa pueden ser más susceptibles a intentos de ingeniería social relacionados con viajes y operaciones de flotas. Para quienes crean una cuenta con una dirección de correo electrónico personal, destacan los riesgos de reutilización de contraseñas y de mensajes falsos sobre entregas o reservas. Dado que se facilita un número de teléfono, conviene tener precaución ante el intercambio fraudulento de SIM, las llamadas falsas de asistencia y los intentos de solicitar códigos de verificación. Si se encuentra una coincidencia para un usuario, el hecho de que ya no utilice la cuenta antigua no debe considerarse, por sí solo, una protección suficiente.

Si su dirección de correo electrónico figura en los datos de Zoomcar, lo primero que debe hacer es asegurarse de que la antigua contraseña de su cuenta de Zoomcar no siga siendo válida en ninguna otra cuenta. Si ha utilizado la misma contraseña o una similar en cuentas de correo electrónico, banca, redes sociales, transporte, compras o trabajo, debe establecer una contraseña distinta y larga para cada cuenta. Utilizar un gestor de contraseñas reduce el riesgo de reutilización. Cambiar una pequeña parte de la contraseña o añadir una fecha al final no es suficiente; debe abandonar por completo el patrón anterior.

Debe activar la autenticación de dos factores en los servicios vinculados a su cuenta de correo electrónico y a su número de teléfono. Si recibe un mensaje inesperado sobre una reserva, un pago, un cargo por daños, documentación para conducir o la seguridad de su cuenta, acceda directamente a la aplicación o al sitio web oficiales en lugar de hacer clic en un enlace. No comparta con nadie los códigos de verificación que reciba por SMS. Si detecta una sesión sospechosa, una solicitud inesperada de restablecimiento de contraseña o un aviso sobre un dispositivo desconocido, cierre las sesiones, revise la información de recuperación y compruebe las demás cuentas de transporte creadas con el mismo correo electrónico.

La brecha de Zoomcar demuestra que las cuentas de transporte y alquiler deben protegerse tanto como las cuentas principales vinculadas a la identidad del usuario. Debe evitar reutilizar contraseñas entre cuentas personales, de trabajo, financieras, de transporte y de redes sociales. Como los números de teléfono y las direcciones de correo electrónico pueden mantenerse durante muchos años, los datos de brechas antiguas pueden volver a adquirir valor en nuevas campañas de phishing. Las cuentas de transporte que ya no se utilicen deben cerrarse o aislarse mediante contraseñas únicas y protección multifactor.

La principal lección para los proveedores de servicios es proteger los hashes de contraseñas con métodos robustos, auditar periódicamente los registros de acceso, reducir al mínimo los campos de datos personales innecesarios y notificar las brechas sin demora. Dado que los servicios de uso compartido de vehículos pueden contener otros datos sensibles, como información de pago, documentos de identidad y documentación del vehículo, el informe del incidente debe distinguir claramente qué áreas se vieron afectadas y cuáles no. En este caso de Zoomcar de 2018, la comunicación sobre los riesgos debe centrarse en la seguridad de las cuentas, el fraude por teléfono y el phishing.

La consulta del registro de la brecha de Zoomcar indica si la dirección de correo electrónico introducida se encuentra en este conjunto de datos verificado. Si el resultado es positivo, la dirección de correo electrónico, la dirección IP, el nombre, el número de teléfono y el hash bcrypt de la contraseña deben considerarse en riesgo. Si el resultado es negativo, solo significa que no se encontró ninguna coincidencia en este conjunto de datos concreto; no demuestra que la persona no se haya visto afectada por otros incidentes de Zoomcar o por brechas de otros servicios de transporte. Mantener fechas exactas evita confusiones entre incidentes antiguos y declaraciones de otros años.

Las medidas adecuadas son abandonar por completo la contraseña antigua, cambiar todas las contraseñas reutilizadas, activar la protección multifactor en la cuenta de correo electrónico y extremar la precaución ante mensajes falsos de asistencia o reservas recibidos a través del número de teléfono. También debe revisar las cuentas de transporte, alquiler de vehículos, pagos y redes sociales creadas con el mismo correo electrónico y número de teléfono. Así se reduce el riesgo de que una brecha de datos de 2018 derive hoy en la toma de control de una cuenta, phishing dirigido o fraude por teléfono.