Una supuesta filtración de datos en CTT, el operador del servicio postal nacional de Portugal, ha expuesto información personal de más de 468.000 personas, según los datos incorporados por HaveIBeenPwned. El incidente resulta especialmente sensible porque no solo incluiría información básica de contacto, sino también códigos de seguimiento de paquetes, un dato que puede convertir las campañas de phishing en ataques mucho más creíbles y difíciles de detectar.
De acuerdo con la información publicada, el volcado contiene 468.000 direcciones de correo electrónico únicas, junto con nombres completos, números de teléfono y referencias de seguimiento de envíos. Aunque muchas personas ya asumen que parte de sus datos personales puede haber acabado expuesta en alguna brecha anterior, la presencia de códigos vinculados a paquetes introduce un riesgo adicional: permite a los ciberdelincuentes construir mensajes fraudulentos mucho más personalizados.
El riesgo de los falsos avisos de paquetería
Los fraudes relacionados con entregas de paquetes son una de las fórmulas más habituales del phishing actual. Correos electrónicos o SMS que alertan de un supuesto problema con un envío, un pago pendiente de aduanas o la necesidad de confirmar una dirección se han convertido en una vía recurrente para robar credenciales bancarias, datos personales o instalar malware en los dispositivos de las víctimas.
La diferencia, en este caso, está en la calidad de la información filtrada. Un mensaje falso resulta mucho más convincente si el atacante puede incluir el nombre de la persona, su teléfono o un código de seguimiento aparentemente legítimo. Para el usuario, esa precisión puede generar una falsa sensación de confianza: si el mensaje contiene datos reales sobre un paquete, es más fácil pensar que procede de la empresa postal.
Este tipo de información permite pasar de campañas masivas y genéricas a intentos de fraude más dirigidos. No hace falta que el atacante conozca todo el contenido del envío. Basta con disponer de datos suficientes para simular una comunicación oficial y empujar a la víctima a hacer clic en un enlace fraudulento.
Un ciberdelincuente conocido como “Boogeyman”
Los datos fueron filtrados el pasado 27 de abril en un foro de ciberdelincuencia por un usuario que se hacía llamar “Boogeyman”. El propio ciberdelincuente aseguró inicialmente que la filtración afectaba a más de un millón de registros de clientes, aunque la cifra verificada posteriormente por HaveIBeenPwned se situó por debajo de esa cantidad: algo más de 468.000 direcciones de correo únicas.
La diferencia entre ambas cifras no resta gravedad al incidente. En el ecosistema del cibercrimen es habitual que los atacantes exageren el alcance de sus filtraciones para ganar reputación, atraer compradores o aumentar la presión sobre las empresas afectadas. Por eso, la validación de servicios como HaveIBeenPwned resulta relevante: permite separar las afirmaciones interesadas de los delincuentes de los datos realmente contrastados.
El supuesto atacante también afirmó haber obtenido información técnica relacionada con las taquillas postales 24/7 de CTT, operadas bajo la marca Locky. Entre los datos mencionados figurarían configuraciones de taquillas, direcciones IP privadas, tipos de máquinas, identificadores de taquillas y versiones de backend.
No obstante, esa parte técnica no ha sido verificada públicamente con el mismo nivel de detalle. HaveIBeenPwned resumió la información relativa a los consumidores afectados, pero no la supuesta información técnica de la infraestructura. The Register también indicó que no descargó ni examinó los datos en bruto.
CTT no ha reconocido públicamente el supuesto ciberataque
Hasta la publicación de la información, CTT no había reconocido públicamente el supuesto ciberataque que habría dado lugar a la filtración. The Register señaló que contactó con la compañía para solicitar una declaración, pero no recibió respuesta inmediata.
La ausencia de confirmación por parte de la empresa deja preguntas importantes sin resolver: cómo se produjo el acceso a los datos, durante cuánto tiempo estuvieron expuestos, si la brecha afectó a sistemas internos o a proveedores externos, y qué medidas se han adoptado para proteger a los usuarios afectados.
