Filtración de datos de BlackBerry Fans

Las categorías de datos verificadas son direcciones de correo electrónico, direcciones IP, nombres de usuario y contraseñas. Una dirección de correo electrónico por sí sola puede parecer de bajo riesgo; sin embargo, cuando aparece junto con una combinación de nombre de usuario y contraseña, facilita que un atacante vincule cuentas y adivine contraseñas. Las direcciones IP pueden ofrecer indicios sobre la región aproximada desde la que se conecta un usuario, sus hábitos de acceso al servicio o la ubicación de sesiones anteriores. Esta información puede facilitar especialmente la vinculación de identidades en línea de usuarios que llevan mucho tiempo utilizando el mismo alias en comunidades tecnológicas.

El hecho de que el campo de contraseña se almacene como MD5 con sal es un detalle técnico importante. El uso de sal reduce la probabilidad de que usuarios con la misma contraseña generen resultados idénticos; sin embargo, como MD5 puede calcularse con gran rapidez, resulta viable descifrar contraseñas débiles, cortas o que ya hayan aparecido en otros conjuntos de datos. Por tanto, el riesgo no se limita a la propia cuenta de BlackBerry Fans. Si el usuario ha utilizado el mismo correo electrónico y la misma contraseña en otros foros, sitios de compras, redes sociales o cuentas de correo, los atacantes pueden intentar acceder a esos servicios mediante intentos sistemáticos, aunque no automatizados.

Las cifras de personas y los campos de datos sin verificar, así como las afirmaciones no verificadas de actores de amenazas, no se consideran parte del alcance público del incidente. El nombre, el número de teléfono, los datos de tarjetas de pago, la dirección física, el contenido de mensajes privados y la información de documentos de identidad oficiales no figuran entre los campos verificados. Por tanto, la evaluación de riesgos que se ofrece al usuario debe basarse únicamente en los campos verificables.

También debe señalarse que el incidente no está relacionado con los sistemas corporativos de la marca BlackBerry, sino con un nombre de dominio perteneciente a una comunidad independiente de aficionados. El nombre de dominio que consta en el registro es blackberryfans.org; no debe atribuirse directamente ninguna vulneración a los dispositivos BlackBerry, sus productos corporativos ni los servicios de seguridad asociados. Esta distinción evita tanto los registros duplicados como que los usuarios tomen medidas innecesarias respecto de una empresa o un servicio equivocados.

El grupo de mayor riesgo incluye a quienes reutilizan en otras cuentas la dirección de correo electrónico y la contraseña que usaban en BlackBerry Fans. Si se descifra el hash de su contraseña o este coincide con listas de contraseñas ya conocidas, pueden producirse intentos de inicio de sesión en otras cuentas. El riesgo de vinculación de identidades también aumenta para quienes llevan años utilizando el mismo nombre de usuario en foros tecnológicos, comunidades de desarrolladores o perfiles sociales.

Los miembros de comunidades de dispositivos antiguos suelen olvidar las cuentas que crearon años atrás. Esto puede llevarlos a restar importancia a esas cuentas cuando reciben un aviso de vulneración. Sin embargo, si la contraseña de una antigua cuenta de foro es la misma que la del correo electrónico o la de otra cuenta principal, el riesgo sigue vigente. Deben tener especial cuidado quienes se registraron con una cuenta de correo personal, utilizaron una contraseña antigua y corta o no usan autenticación de dos factores.

Si todavía recuerda la contraseña de su cuenta de BlackBerry Fans, cámbiela en todas las cuentas en las que utilice esa misma contraseña o una similar. Dé prioridad a las cuentas de correo electrónico, las redes sociales, el almacenamiento en la nube, los servicios utilizados para operaciones financieras y las cuentas de trabajo. Para cada cuenta, conviene elegir una contraseña única y larga y guardarla en un gestor de contraseñas. Si puede acceder a la cuenta antigua, cambie también la contraseña allí y cierre las sesiones activas si es posible.

Debe actuar con cautela ante los mensajes de phishing, ya que la dirección de correo electrónico y el nombre de usuario han quedado expuestos juntos. Los mensajes relacionados con BlackBerry, el soporte para dispositivos antiguos, las cuentas de foros, el restablecimiento de contraseñas o las alertas de seguridad pueden parecer auténticos. Acceda directamente al servicio correspondiente desde su navegador en lugar de hacer clic en enlaces, no abra archivos incluidos en los mensajes recibidos y compruebe si realmente ha solicitado los restablecimientos de contraseña. Active la autenticación de dos factores en las cuentas críticas.

Este incidente demuestra que las cuentas antiguas de comunidades también deben incluirse en el inventario de seguridad. Conviene revisar periódicamente los foros, las comunidades de dispositivos y los servicios especializados en los que se haya registrado a lo largo de los años. Cierre las cuentas que ya no utilice, use contraseñas únicas en las que no pueda cerrar y elimine los detalles innecesarios de sus perfiles. Si necesita utilizar el mismo alias en muchos sitios, recuerde que esto puede permitir que se vincule con su identidad personal.

Es posible que los empleados hayan utilizado direcciones de correo corporativo en este tipo de comunidades. Por ello, deben implementarse de forma conjunta una política que impida la reutilización de contraseñas, la autenticación multifactor, las comprobaciones de contraseñas filtradas y la formación periódica en concienciación sobre seguridad. Aunque una filtración se produzca en un pequeño sitio comunitario, el uso de las mismas credenciales en otros servicios puede ampliar su impacto.

Aunque ya no recuerde la contraseña, debe cambiar los patrones de contraseñas antiguos que utilizaba antes de 2022. Revise especialmente las cuentas abiertas con la misma dirección de correo electrónico que lleven mucho tiempo sin utilizarse.

Encontrar una coincidencia al realizar la comprobación no significa necesariamente que la contraseña se haya obtenido en texto plano; sin embargo, la exposición de hashes de contraseñas constituye una advertencia de seguridad suficiente. Lo más adecuado es utilizar contraseñas únicas, activar la autenticación de dos factores en las cuentas importantes, evaluar con cuidado las notificaciones y los mensajes de restablecimiento recibidos y revisar otros perfiles vinculados al mismo nombre de usuario. Estas medidas reducen considerablemente el riesgo de apropiación de cuentas y de fraude dirigido derivado de la filtración de BlackBerry Fans.