Bitly Filtración de datos

Las categorías de datos verificadas en el registro de Bitly son direcciones de correo electrónico, contraseñas y nombres de usuario. La dirección de correo electrónico permite a los atacantes enviar mensajes dirigidos a una persona concreta. El nombre de usuario aumenta la probabilidad de relacionar las cuentas de una misma persona en otras plataformas. Aunque los hashes de contraseñas no son contraseñas en texto sin formato, adquieren especial importancia si se reutilizan las contraseñas. El riesgo aumenta rápidamente si se utiliza la misma contraseña fuera de Bitly, por ejemplo, en el correo electrónico, las redes sociales, los paneles de publicidad o las herramientas de gestión de enlaces.

La seguridad de las cuentas en los servicios de acortamiento de enlaces no se limita a las credenciales de acceso. Una cuenta de gestión de enlaces comprometida puede permitir cambiar los destinos de antiguos enlaces acortados, redirigir el tráfico de campañas, dañar la reputación de una marca o dirigir el tráfico a páginas de inicio de sesión falsas. Incluso si una cuenta de Bitly se utiliza a título personal, las redes sociales y las herramientas de marketing vinculadas a la misma dirección de correo electrónico pueden convertirse en objetivos. Por ello, la evaluación del riesgo debe considerar conjuntamente la seguridad de las contraseñas y la de los enlaces.

La fecha de la filtración indicada en este registro debe constar como el 8 de mayo de 2014; la fecha de incorporación verificada, como el 6 de octubre de 2017; y el número de cuentas afectadas, como 9 313 136. El registro está asociado al dominio bitly.com y las categorías de datos canónicas son direcciones de correo electrónico, contraseñas y nombres de usuario. No se afirma que los datos de tarjetas de pago, cuentas bancarias, direcciones físicas, números de teléfono, documentos oficiales de identidad, mensajes privados o historiales de clics en enlaces sean categorías de datos verificadas en este conjunto de datos.

En los informes de la empresa sobre el incidente también se han mencionado medidas de seguridad adicionales relativas a las conexiones entre cuentas y los permisos de servicios externos. Esto muestra la importancia de la cuenta de Bitly para las redes sociales y las herramientas de campañas conectadas; sin embargo, las categorías básicas de datos que se muestran al usuario deben limitarse a los campos verificados de identificación de la cuenta. Una coincidencia positiva indica que la dirección de correo electrónico está incluida en este conjunto de datos. Este resultado no demuestra que la cuenta actual de Bitly haya sido comprometida; no obstante, exige verificar directamente la seguridad de las contraseñas antiguas y de las cuentas conectadas.

El grupo de mayor riesgo está formado por personas que reutilizan la contraseña de su cuenta de Bitly en el correo electrónico, las redes sociales, un panel de publicidad, una herramienta de análisis o una cuenta relacionada con una marca. Los equipos de marketing, el personal de agencias, los responsables de redes sociales, los creadores de contenido y las cuentas de organizaciones que utilizan habitualmente enlaces de campañas son objetivos más visibles. Si una misma cuenta de enlaces acortados está asociada a varios perfiles de redes sociales o cuentas de campañas, su valor como objetivo para un atacante aumenta.

Los usuarios particulares tampoco están exentos de riesgo. Si una antigua contraseña de Bitly sigue utilizándose en otras cuentas, pueden producirse intentos de acceso con esa contraseña, ataques de phishing y mensajes con enlaces falsos. En el ámbito corporativo, la toma de control de una cuenta puede dar lugar al uso indebido de enlaces acortados compartidos o poner en riesgo la fiabilidad de la medición de campañas. Por ello, quienes hayan utilizado una cuenta de Bitly con fines laborales en el pasado deben revisar no solo sus cuentas personales, sino también las cuentas de equipo, de marca y de campañas.

Si obtiene una coincidencia positiva, debe proteger primero su cuenta de correo electrónico. Para ello, debe utilizar una contraseña segura y exclusiva, activar la autenticación multifactor, verificar la dirección de recuperación y revisar las sesiones activas. Después, debe dejar de utilizar cualquier contraseña que pudiera haber usado durante su etapa en Bitly en todas las cuentas donde se haya empleado la misma contraseña o una similar. Esta revisión debe incluir las cuentas de redes sociales, los paneles de publicidad, las herramientas de análisis, los paneles de gestión de contenido y otras cuentas de gestión de enlaces.

Si todavía puede acceder a la cuenta de Bitly, debe cambiar la contraseña y revisar las cuentas de redes sociales conectadas y los destinos de los enlaces. Compruebe si los antiguos enlaces acortados redirigen a destinos inusuales. Si utilizó una cuenta de marca o corporativa, revise los miembros del equipo, las sesiones autorizadas y el historial de cambios de enlaces. Antes de hacer clic en enlaces de mensajes enviados en nombre de Bitly para restablecer contraseñas, vincular cuentas de redes sociales o verificar campañas, escriba manualmente la dirección que ya conoce.

A largo plazo, las cuentas de gestión de enlaces deben protegerse con el mismo cuidado que las cuentas de redes sociales y publicidad. Como los enlaces acortados dirigen a los usuarios a otras páginas, la toma de control de una cuenta puede afectar directamente a la confianza en la marca. Debe utilizar contraseñas exclusivas, autenticación multifactor y revisiones periódicas de las sesiones en cada herramienta de gestión de enlaces. En las cuentas de equipo, debe aplicarse el principio de mínimo privilegio, revocarse el acceso de exempleados y supervisarse periódicamente los cambios críticos en los enlaces.

Utilizar un gestor de contraseñas, generar una contraseña distinta para cada servicio y separar las cuentas de campañas de las cuentas personales ofrece una protección duradera. Las herramientas de redes sociales, publicidad, análisis y gestión de enlaces no deben protegerse con la misma combinación de correo electrónico y contraseña. Los antiguos enlaces de campañas deben comprobarse periódicamente y deben registrarse los destinos de las URL acortadas asociadas al dominio de la marca. De este modo, un intento de acceso a una cuenta basado en datos de una filtración antigua no puede poner fácilmente en riesgo la seguridad de las campañas actuales.

Un resultado positivo para Bitly indica que la dirección de correo electrónico consultada se encontró en el conjunto de datos de Bitly fechado el 8 de mayo de 2014. Este resultado significa que la dirección de correo electrónico, el nombre de usuario y el hash de la contraseña podrían suponer un riesgo. Si el resultado es negativo, solo significa que no se encontró ninguna coincidencia en este conjunto de datos concreto; no debe concluirse que la persona no se haya visto afectada por otros incidentes relacionados con servicios de gestión de enlaces, redes sociales o herramientas de marketing.

Lo adecuado es reforzar la seguridad de la cuenta de correo electrónico, dejar de utilizar la antigua contraseña de Bitly en todas las cuentas, comprobar la configuración de seguridad de Bitly y de las cuentas de redes sociales conectadas, revisar los destinos de los antiguos enlaces acortados y cerrar las sesiones autorizadas en las cuentas de campañas. Mantener la misma contraseña en otro servicio puede hacer que una filtración del pasado afecte a las cuentas actuales. Por tanto, el resultado de Bitly no debe tratarse como un mero registro del pasado, sino como una advertencia práctica sobre la seguridad actual de las contraseñas y los enlaces.