Filtración de datos de BitRewards (2020)

En la evaluación de verificación se tuvo en cuenta que el nombre BitRewards, el dominio bitrewards.com, la fecha de julio de 2020, la cifra de más de 427 000 cuentas y los campos de correo electrónico, nombre, teléfono y hash de contraseña aparecían juntos en el mismo incidente. La seguridad de las cuentas es especialmente importante en las plataformas de recompensas en criptomonedas y fidelización, ya que los usuarios también pueden utilizar el mismo correo electrónico o teléfono en distintas cuentas de plataformas de intercambio, billeteras, compras y recompensas. El registro se limitó a los campos de cuenta respaldados por la evidencia y no se amplió como si se hubiera tenido acceso a activos financieros.

La filtración de datos de BitRewards genera riesgos para los usuarios, como la toma de control de cuentas, el phishing relacionado con criptomonedas y el fraude con puntos de fidelización. La dirección de correo electrónico y el número de teléfono facilitan el contacto con el usuario tanto por correo electrónico como por mensaje de texto. El campo de nombre permite personalizar el mensaje. El campo de hash de contraseña aumenta el riesgo de que se prueben contraseñas reutilizadas o débiles en otros servicios. Los atacantes pueden preparar mensajes falsos sobre solicitudes de recompensas, retiros de puntos, vinculación de billeteras, seguridad de la cuenta o verificación de campañas.

En este incidente, las categorías de datos visibles son sensibles por su relación con las criptomonedas y los programas de recompensas. No se consideró que el registro contuviera una clave privada ni información de pago completa; sin embargo, los campos de correo electrónico, teléfono y hash de contraseña pueden bastar para dirigir ataques contra un usuario. Cuando los datos incluyen hashes de contraseñas, el uso de contraseñas débiles, basadas en palabras de diccionario o detectadas en otras filtraciones puede dar lugar a ataques para adivinar las credenciales de las cuentas. Las personas que utilizan las mismas credenciales de acceso en distintas plataformas corren un riesgo especial.

Las personas que tengan una cuenta de BitRewards o utilicen la misma dirección de correo electrónico en programas de criptomonedas, compras o recompensas deben restablecer la contraseña de la cuenta correspondiente y de todas las cuentas en las que utilicen esa misma contraseña. Deben revisar de forma prioritaria las cuentas de correo electrónico, plataformas de intercambio de criptomonedas, billeteras, compras, pagos y redes sociales. Siempre que sea posible, deben activar la autenticación multifactor, cerrar las sesiones antiguas y revisar las alertas de inicio de sesión inesperadas. Los enlaces para retirar recompensas, vincular billeteras o verificar cuentas deben comprobarse a través de un canal independiente.

Desde la perspectiva de las organizaciones, la filtración de datos de BitRewards muestra que la seguridad de las cuentas y la comunicación con los clientes en los programas de recompensas y fidelización deben protegerse de forma conjunta. Los equipos de soporte no deben realizar cambios en las cuentas basándose únicamente en el correo electrónico, el teléfono o el nombre. Se requiere una verificación adicional para las transferencias de puntos, los cambios de correo electrónico, las actualizaciones del teléfono, la recuperación de cuentas y los procesos de validación de campañas. Las plataformas vinculadas a criptomonedas o recompensas deben proporcionar a los usuarios advertencias de seguridad claras y explicar cómo identificar enlaces falsos de billeteras y mensajes falsos sobre retiros de puntos.

El registro de la filtración de datos de BitRewards se limitó a los campos respaldados por el alcance documentado. Se registraron 427 133 cuentas; los recuentos de filas más altos que aparecían no se consignaron directamente como el número de usuarios únicos. El registro no incluyó afirmaciones sobre claves privadas de billeteras, tarjetas de pago, cuentas bancarias ni datos de documentos oficiales de identificación. Aun así, la combinación de correo electrónico, teléfono, nombre y hash de contraseña supone un riesgo crítico para la seguridad de las cuentas. El contexto de las recompensas en criptomonedas puede llevar a los atacantes a presentar sus mensajes de forma más atractiva y urgente.

El nivel de riesgo general se ha evaluado como crítico, ya que la filtración de datos de BitRewards combina campos de identificador de cuenta, teléfono y hash de contraseña con el contexto de las recompensas en criptomonedas. Si usted busca información sobre la filtración de datos de BitRewards, las medidas más prácticas son no reutilizar la misma contraseña, activar una verificación adicional en sus cuentas de correo electrónico y criptomonedas, comprobar de forma independiente los enlaces de recompensas o billeteras, desconfiar de las solicitudes de códigos que reciba por teléfono y revisar con atención los mensajes elaborados con información antigua de su cuenta. El informe se ha preparado para explicar el impacto real en la seguridad de las cuentas sin añadir afirmaciones financieras que no estén respaldadas.