- Una empresa de Florida ha confirmado que los ciberdelincuentes le robaron información personal confidencial de millones de personas y la filtraron públicamente.
- Incluye los nombres, números de Seguro Social, direcciones físicas y de correo electrónico y números de teléfono de personas en los Estados Unidos, el Reino Unido y Canadá.
- Es el tipo de registros que los estafadores compran y venden regularmente
¿Qué ocurrió exactamente?
En abril, los delincuentes que utilizaban el nombre de usuario en línea USDoD escribieron en un foro de delitos cibernéticos que estaban vendiendo por 3,5 millones de dólares lo que supuestamente eran 2.900 millones de registros, en múltiples archivos en un archivo de 277 GB, sobre ciudadanos estadounidenses, canadienses y británicos, incluidos sus nombres y números de teléfono y de seguridad social antes mencionados cuando correspondiera, así como sus historiales de direcciones que se remontan a 30 años y detalles de sus padres y familiares.
Ese silo de información personal fue robado de un equipo llamado National Public Data, o NPD, un pequeño corredor de información con sede en Coral Springs que ofrece búsquedas de API a otras empresas para cosas como verificaciones de antecedentes. Según USDoD, los datos robados fueron recopilados por NPD entre 2019 y 2024. Es probable que la empresa obtuviera esa información al menos de registros públicos a nivel local, estatal y federal.
Un ladrón cibernético que utilizaba el nombre de usuario SXUL robó la información y se la pasó al USDoD para que la vendiera, lo que provocó una demanda contra NPD a principios de este mes.
Parte de la información robada se había estado filtrando a través de la web oscura en pedazos, aunque la semana pasada, alguien usando el nombre de usuario Fenice volcó lo que se afirma que son 2.700 millones de registros de esa colección en Internet para que cualquiera los descargue de forma gratuita si sabe dónde buscar. Tenga en cuenta que es una base de datos con miles de millones de filas, no miles de millones de individuos; Hay muchas imprecisiones en los datos, así como muchas personas muertas y duplicaciones.
Después de semanas de silencio, y de que innumerables personas empezaran a recibir alertas de los servicios de privacidad y antifraude de que su información personal había sido filtrada, NPD ha confirmado, en un lenguaje cauteloso, que se vio comprometida y que sus datos fueron robados y compartidos. Según la empresa, fue saqueado en diciembre y las filtraciones comenzaron en abril, hasta ahora. Según USDoD, los datos se transmitieron por el submundo del cibercrimen antes de terminar a la venta y ahora en público.
“Parece haber habido un incidente de seguridad de datos que puede haber involucrado parte de su información personal”, dijo NPD en un comunicado esta semana.
“Se cree que el incidente involucró a un mal actor externo que intentaba piratear datos a fines de diciembre de 2023, con posibles filtraciones de ciertos datos en abril de 2024 y el verano de 2024”, agregó la firma de verificación de antecedentes. “Llevamos a cabo una investigación y la información posterior ha salido a la luz”.
Y continuó.
NPD dijo que está trabajando con las fuerzas del orden y los funcionarios del gobierno a la luz de este robo, y prometió proteger mejor su TI: “También hemos implementado medidas de seguridad adicionales en un esfuerzo por evitar que vuelva a ocurrir una violación de este tipo y proteger nuestros sistemas”. También recomendó a las personas poner alertas de fraude en sus archivos de crédito para que cualquier uso indebido de sus datos pueda ser detectado y detenido.
Troy Hunt, de HaveIBeenPwned.com famoso, tiene un análisis aleccionador de los datos filtrados aquí, en el que señala que el archivo que contiene los números de Seguro Social (SSN) no incluye las direcciones de correo electrónico de las personas, por lo que si recibe una alerta de que su dirección de correo electrónico ha aparecido en la colección NPD divulgada, no asuma que su SSN está allí.
También detectó que el archivo incluye antecedentes penales, y señaló que USDoD en mayo filtró a través de la web oscura 70 millones de dichos registros.
Hay 134 millones de direcciones de correo electrónico únicas en la última filtración de NPD, dijo Hunt. Y según las estadísticas de Atlas Data Privacy, 272 millones de SSN únicos están en la colección robada, la mayoría de ellos con un nombre y dirección, y aproximadamente una cuarta parte del tiempo un número de teléfono. La edad media es, curiosamente, de 70 años.
También se especuló anteriormente que la base de datos cubre básicamente a las personas que viven en los Estados Unidos, algunas de las cuales serán, por ejemplo, británicas y canadienses, razón por la cual esos ciudadanos han terminado en el archivo.
La gente también debe tener cuidado con los delincuentes que usan esta información en intentos de phishing. Además, recuerde esta filtración la próxima vez que vea a organizaciones (por ejemplo, esta) usar su nombre, dirección y SSN con fines de identificación, o si alguna vez le piden que construya un sistema usando esa información como entrada.
Finalmente, como informamos anteriormente, las personas que usan un servicio de exclusión voluntaria de datos para mantener su información fuera de bases de datos como la de NPD descubrieron que sus detalles no estaban entre los registros filtrados, por lo que, sobre esa base, esos servicios funcionan.
