Filtración de datos de ai.type

El conjunto de datos del teclado virtual ai.type contenía contactos de la agenda, aplicaciones instaladas, nombres de redes móviles, fechas de nacimiento, información de dispositivos, direcciones de correo electrónico, géneros, ubicaciones geográficas, números IMEI e IMSI, direcciones IP, nombres, números de teléfono, fotos de perfil y perfiles de redes sociales. Los registros de la agenda pueden afectar tanto a los usuarios de la aplicación como a terceros guardados entre sus contactos. Las contraseñas, las tarjetas de pago y la información financiera no figuran entre las categorías de datos confirmadas. Los investigadores señalaron la presencia de campos de IMEI y coordenadas, pero la empresa lo cuestionó; no debe darse por sentado que sean exactos ni que estén completos para todos los usuarios. Los nombres, los números de teléfono, las fotos y los perfiles de redes sociales pueden hacer más convincentes las estafas personalizadas. Los datos sobre dispositivos, redes, IP y aplicaciones instaladas pueden revelar el entorno técnico de la persona objetivo y ayudar a un atacante a elegir un servicio pertinente o una vulnerabilidad de software que aprovechar.

El 5 de diciembre de 2017, unos investigadores informaron de que una base de datos de ai.type de unos 577GB era accesible desde internet sin autenticación. El análisis describía 31 293 959 filas de registro de clientes, 6 435 813 registros de agendas con más de 373 millones de entradas de contactos y 753 456 filas en una carpeta más antigua. Estos datos corresponden a distintos niveles de detalle y no deben sumarse para obtener un recuento de personas. La cifra de 20 580 060 que aparece en esta página es el recuento canónico de direcciones de correo electrónico únicas; los contactos de las agendas no se suman al total global de cuentas. La empresa afirmó que había desactivado la base de datos secundaria, pero se desconoce cuánto duró la exposición y si terceros descargaron los datos. Las pruebas apuntan a un sistema de almacenamiento público mal configurado, y no a una intrusión que hubiera eludido una contraseña; aun así, la posibilidad de acceso no autorizado hace que se considere una filtración de datos para los usuarios.

El principal grupo de riesgo son las personas que instalaron ai.type en Android o iOS antes del descubrimiento de 2017 y le concedieron acceso a sus contactos, datos del dispositivo o cuentas de redes sociales. Alguien que nunca lo instaló puede verse afectado indirectamente si un usuario de ai.type guardó su nombre y número de teléfono. Reunir un correo electrónico, un número de teléfono, una fecha de nacimiento, una foto y un perfil de redes sociales en un mismo registro puede hacer más convincentes las llamadas de soporte falsas, las estafas de recuperación de cuentas y el phishing dirigido. El IMSI o los datos de la red pueden facilitar la suplantación del operador móvil, aunque no debe suponerse que los campos cuestionados estuvieran presentes en todos los registros. La información sobre las aplicaciones instaladas y el modelo del dispositivo puede ayudar a seleccionar los servicios contra los que dirigir un ataque. Una coincidencia de correo electrónico no significa que todas las categorías de datos estuvieran presentes para esa persona. El riesgo real depende de lo completo que esté el registro y de si los datos expuestos siguen vigentes hoy.

Si utilizó ai.type, revise de inmediato los permisos de la aplicación en su dispositivo, las cuentas conectadas y las sesiones que no reconozca. Desinstálela si ya no la necesita; de lo contrario, mantenga actualizada la versión de la tienda oficial y restrinja los permisos de acceso a contactos, ubicación y otros datos. Active la autenticación multifactor en sus cuentas principales de correo electrónico y redes sociales, verifique las direcciones y los números de teléfono de recuperación y cierre las sesiones que no reconozca. Las contraseñas no figuran entre las categorías de datos confirmadas, así que cambie las credenciales débiles o reutilizadas y las de las cuentas que muestren actividad sospechosa de inicio de sesión o restablecimiento, en lugar de suponer que se filtraron todas las contraseñas. Añada un PIN a su cuenta del operador móvil para reducir el riesgo de portabilidad no autorizada del número y de intercambio fraudulento de SIM. Si alguien que le llama conoce su dispositivo, teléfono o perfil de redes sociales, contacte con la organización a través de un canal que usted haya localizado por su cuenta. Nunca facilite un IMEI, un IMSI ni un código de un solo uso en respuesta a una llamada o un mensaje no solicitado.

Los teclados virtuales operan muy cerca del contenido que se escribe y de las funciones esenciales del dispositivo, por lo que conviene examinar detenidamente al desarrollador, los permisos y las afirmaciones sobre el tratamiento de datos. Pregúntese por qué un teclado necesita acceder a los contactos, la ubicación o un identificador persistente del dispositivo; deniegue los accesos innecesarios y elimine los teclados que no utilice desde los ajustes del sistema. Mantenga actualizados el sistema operativo y las aplicaciones, instale software solo desde tiendas oficiales y revise los permisos después de las actualizaciones importantes. Las contraseñas únicas, junto con una aplicación de autenticación o una llave de seguridad, limitan los ataques a los procesos de recuperación de cuentas basados en datos personales expuestos, aunque aquí no había contraseñas. Limite la visibilidad de su fecha de nacimiento y su número de teléfono en los perfiles de redes sociales, y evite usar datos públicos en las preguntas de recuperación. Las declaraciones de privacidad actuales no cambian retroactivamente la exposición verificada de 2017. La monitorización de filtraciones y las alertas de cuenta pueden avisarle si se reutilizan años después datos antiguos de identidad o contacto.

Compruebe su dirección de correo electrónico con LeakData para saber si coincide con los datos de ai.type o de otra filtración verificada. Una coincidencia sitúa la dirección entre las 20 580 060 cuentas de correo electrónico del recuento canónico; no significa que todas las filas de clientes sin procesar ni los cientos de millones de entradas de contactos le pertenezcan. Tampoco demuestra que se expusieran todos los identificadores de su dispositivo o todos sus contactos telefónicos. Utilice la fecha y las categorías de datos para priorizar la revisión de los permisos del dispositivo, la seguridad del correo electrónico, las cuentas de redes sociales y la protección de su cuenta del operador móvil. Nunca introduzca una contraseña, un número de teléfono, un IMEI ni un IMSI en el campo de búsqueda; basta con una dirección de correo electrónico. La monitorización continua puede detectar conjuntos de datos publicados más adelante. Mantenga actualizados los ajustes de recuperación, ya que las vinculaciones antiguas entre correos electrónicos, teléfonos y perfiles de redes sociales pueden seguir siendo útiles durante años.