Han sido varios los medios que se han hecho eco de un supuesto robo masivo de datos de los clientes de PcComponentes en las últimas horas. La tienda se pronuncia al respecto y desmiente los rumores.
PcComponentes es, sin duda alguna, una de las principales tiendas de informática y electrónica en territorio español. Pionera en nuestro país en el campo de las tiendas de informática online, somos muchos los que recordamos, hace más de dos décadas ya, cómo empezamos a aprender de hardware y a preparar configuraciones en aquellas primeras versiones de su web.
En las últimas horas, hemos visto aparecer en varios grandes medios la noticia de un supuesto hackeo a las bases de datos de su tienda online, que en teoría afectaría a millones de clientes. La propia PcComponentes acaba de lanzar un comunicado al respecto aclarándolo todo.
PcComponentes no ha sufrido brecha de seguridad alguna
El informe oficial por parte de la tienda se explica con total transparencia acerca de lo ocurrido para tranquilizar a sus numerosos clientes. Afirman, en sus primeras líneas, que no tienen constancia de que PcComponentes haya sufrido una brecha de seguridad en sus sistemas.
Lo que sí han podido detectar ha sido un fenómeno de credential stuffing. ¿Qué significa esta expresión en inglés? Se trata de un término de ciberseguridad que se usa cuando alguien utiliza credenciales de acceso obtenidas en bases de datos externas. Es decir: alguien ha podido acceder, mediante filtraciones ajenas a PcComponentes, los datos de acceso de algunos usuarios.
Puede parecer una diferencia pequeña, pero no lo es en absoluto: significa que algunos usuarios han sido descuidados de algún modo con sus datos de usuario y contraseña, o que los compartían con los de alguna otra tienda o plataforma que sí ha visto comprometida su seguridad.
Esta última posibilidad es la más probable por mucho, pues a menudo usamos las mismas credenciales en todo tipo de plataformas por pura comodidad. Los atacantes y ciberdelincuentes lo saben, por lo que cuando nuestro mail y contraseña quedan expuestos en alguna web, suelen hacer intentos masivos de conexión con esas credenciales en otras muchas plataformas. En este caso, habría funcionado.
PcComponentes aclara 5 puntos clave en su comunicado:
- No ha habido un acceso ilegítimo a sus bases de datos o sistemas.
- Los supuestos 16 millones de clientes afectados no tienen pies ni cabeza porque la propia tienda tiene muchas menos cuentas. Se han afectado solo unos pocos clientes: nada masivo.
- No ha habido compromiso de datos bancarios, pues el propio sistema de la web no los almacena por cómo funciona. Algo básico por seguridad.
- Las contraseñas de los clientes tampoco se almacenan en su base de datos.
- Los datos afectados han sido: nombre, apellidos, DNI, dirección, IP, correo electrónico y teléfono. Solo para esas pocas cuentas afectadas, claro.
Qué ha hecho PcComponentes al respecto y qué puedes hacer tú
La tienda ha mostrado una capacidad de reacción impecable y ya ha implementado diferentes medidas para evitar que esto vuelva a ocurrir. Entre ellas está la implementación de un CAPTCHA para iniciar sesión, la imposición de un segundo factor de autenticación y la invalidación de todas las sesiones activas. Con todo ello no hay de qué preocuparse ya.
Además, nos dan algunos consejos acerca de cómo podemos protegernos como usuarios ante este tipo de prácticas ilícitas:
- Utilizar una contraseña distinta para cada servicio y plataforma. Si las apuntas en algún sitio, que sea en papel en una libreta en casa, no en formato digital.
- Procurar usar contraseñas de alta seguridad. Aquí las largas sucesiones de letras, números y símbolos siempre son muy recomendables. Puedes no complicarte con simplemente usar varias palabras consecutivas.
- Nunca des tus datos por otras vías: usa siempre la web oficial directamente para cualquier cambio en pedidos.
- No cliques en enlaces externos ni respondas a correos. Ve personalmente a la web escribiendo su dirección.