El aviso se convierte en un guion
Un aviso de brecha informa al público de qué organización se ha visto afectada, qué tipo de datos estaban implicados y cómo se contactará con los clientes. Los defraudadores reutilizan exactamente esos detalles. Los mensajes que mencionan la brecha, citan el aviso y prometen una compensación o una revisión de seguridad parecen creíbles porque la brecha es real.
Cómo es la oleada
En los compuestos anonimizados que estudiamos, el patrón se repite: dominios similares registrados a los pocos días del aviso, mensajes de texto y correos electrónicos que dirigen a páginas falsas de soporte o de reembolso, y falsos servicios que ofrecen eliminar los datos filtrados a cambio de una tarifa. Los mismos canales que anuncian la filtración suelen difundir también estos señuelos.
Señales que pueden vigilar los defensores
Nuevos registros de dominios y entradas de transparencia de certificados que contienen el nombre de la marca, páginas de pago que copian el diseño de la organización y publicaciones públicas que ofrecen comprobar si una cuenta se vio afectada. Cada una de ellas puede capturarse, calcularse su hash y enviarse al registrador, al proveedor de alojamiento o al servicio de abusos sin tocar los propios datos filtrados.
Qué ayuda a los clientes
Una orientación clara y repetida funciona mejor que un único aviso: qué canales utiliza la organización, qué no pedirá nunca y dónde denunciar un mensaje sospechoso. Publicar los dominios oficiales y los números de atención hace que los dominios similares sean más fáciles de detectar, tanto para los clientes como para los servicios que los bloquean.
Cómo lo abordamos
Monitorizamos de forma pasiva fuentes públicas en busca de la marca afectada y de sus proveedores, y comunicamos lo que encontramos a la organización de forma privada. No interactuamos con las personas que dirigen una campaña, no compramos ni descargamos datos filtrados y no publicamos detalles de una brecha que no haya sido confirmada públicamente.