La lista de clientes filtrada de Carhartt estaba medio inventada. La otra mitad es real.
Las cifras redondas en una filtración suelen ser la estimación de alguien. Esta se auditó, y se quedó en la mitad.
El grupo de extorsión ShinyHunters publicó unos 50 GB de datos de clientes de Carhartt el 13 de agosto, después de que la marca de ropa de trabajo se negara a negociar una exigencia de 3,3 millones de dólares. El volcado parecía cubrir a más de 25 millones de personas. Troy Hunt, que dirige Have I Been Pwned, lo revisó y descubrió que millones de registros estaban simplemente inventados para engordar el total. Algunas señales son casi divertidas: direcciones como michelle.larue@lkvb06fkzsjv.org, un montón sospechoso de dominios .edu y .org, fechas de nacimiento agrupadas en los primeros años del siglo XX y más clientes en Montenegro que en Estados Unidos. Retirada la ficción, el recuento genuino quedó en 12.933.413 direcciones de correo, añadidas a HIBP el 25 de agosto.
Lo que queda es bastante real. Nombres, correos, números de teléfono y direcciones postales de casi 13 millones de compradores, sacados según el análisis de Hunt del almacén de análisis de clientes de Carhartt alojado en Databricks. En el conjunto publicado no aparecen contraseñas ni números de tarjeta. Alrededor del 83% de las direcciones ya había salido en filtraciones anteriores, lo que dice mucho de cómo se acumulan estas listas con los años: vendidas, fusionadas, revendidas y, al final, rellenadas con filas inventadas para parecer más temibles de lo que son.
Así que aquí no hay nada que restablecer, lo que convierte esto en un problema de phishing y no de cuentas. Quien tenga tu nombre, tu móvil y tu dirección puede escribir un SMS de entrega fallida o un correo de reembolso muy creíble, y es exactamente el uso que se da a estos datos. Puedes comprobar si tu dirección está en el conjunto en haveibeenpwned.com. Y como un intento de phishing que funciona termina siempre aterrizando en una cuenta, la comprobación de privacidad y cuentas de Tendvane te da un resumen claro de cómo está iniciada cada cuenta de tu PC y qué abre.