Filtración de datos de Bookchor

En la filtración de Bookchor, los campos de datos verificados son direcciones de correo electrónico, nombres, números de teléfono, fechas de nacimiento, información de género, direcciones IP, perfiles de redes sociales y contraseñas. Cuando el correo electrónico y el teléfono aparecen juntos, el usuario puede quedar expuesto a intentos de fraude tanto por correo electrónico como por mensajes o llamadas. El nombre, la fecha de nacimiento y la información de género pueden utilizarse para crear mensajes que parezcan más personales.

Los perfiles de redes sociales pueden ayudar a los atacantes a identificar al usuario en otras plataformas y a establecer vínculos entre sus cuentas. La presencia de contraseñas en formato MD5 sin sal aumenta el nivel de riesgo. Cuando no se utiliza sal, las contraseñas iguales producen el mismo resultado, lo que facilita la comparación con listas de contraseñas comunes. Si se utiliza la misma contraseña para cuentas de correo electrónico, redes sociales, compras o trabajo, esta filtración puede generar un riesgo de toma de control de varias cuentas en cadena.

El alcance verificado de este registro es de 498 297 cuentas y ocho categorías de datos: fechas de nacimiento, direcciones de correo electrónico, información de género, direcciones IP, nombres, contraseñas, números de teléfono y perfiles de redes sociales. Los datos de tarjetas de pago, cuentas bancarias, direcciones físicas, documentos de identificación oficiales o contenido de pedidos no figuran entre los campos verificados para este registro. La descripción debe basarse únicamente en las categorías de datos verificadas.

Los registros de Bookchor deben evaluarse en el contexto del comercio de libros y las plataformas de libros de segunda mano. No debe suponerse que otros sitios de libros, editoriales o plataformas de venta con un nombre similar hayan sufrido también una filtración. La cifra del registro refleja el número de cuentas únicas afectadas; los recuentos de filas sin procesar o de registros duplicados pueden arrojar cifras diferentes. Las medidas de los usuarios deben planificarse a partir de las 498 297 cuentas verificadas y los campos de datos enumerados.

El grupo de mayor riesgo está formado por los usuarios que reutilizan la contraseña de su cuenta de Bookchor en otras cuentas. Los estudiantes, quienes compran y venden libros y las personas que utilizan el mismo correo electrónico o número de teléfono en distintos sitios de compras pueden ser objeto de más ataques. Datos como la fecha de nacimiento y el perfil de redes sociales pueden facilitar el engaño mediante mensajes sobre promociones, envíos, verificación de cuentas o venta de libros que parezcan más creíbles.

Los usuarios cuyos datos incluyen un número de teléfono y un enlace a un perfil social pueden ser blanco de ataques no solo por correo electrónico, sino también a través de aplicaciones de mensajería y redes sociales. Por tanto, la evaluación del riesgo no debe limitarse al cambio de contraseña. Los usuarios deben actuar con cautela ante enlaces inesperados, solicitudes de pago, mensajes de compraventa de libros de segunda mano y alertas de recuperación de cuentas.

Los usuarios que encuentren una coincidencia deben identificar primero la contraseña que utilizaban en su cuenta de Bookchor y las demás cuentas en las que empleaban el mismo patrón de contraseña. Si todavía utilizan esa contraseña u otra similar en alguna cuenta, deben cambiarla de inmediato. Deben dar prioridad a las cuentas de correo electrónico, redes sociales, compras, servicios relacionados con pagos, plataformas educativas y trabajo. Para cada cuenta debe crearse una contraseña larga y única.

Es necesario prestar atención a las notificaciones falsas de envíos, pedidos de libros, confirmaciones de pago, verificaciones de cuentas o mensajes promocionales, ya que se han expuesto datos de correo electrónico, teléfono y perfiles sociales. En lugar de iniciar sesión desde los enlaces recibidos, se debe acceder directamente al servicio correspondiente, evitar abrir archivos inesperados y actualizar la información de recuperación de las cuentas. En las cuentas importantes debe activarse la verificación en dos pasos y, si es posible, dar preferencia a la verificación mediante una aplicación.

El incidente de Bookchor muestra que los servicios que combinan comercio electrónico y funciones de comunidad generan perfiles extensos de datos personales. Los usuarios deben revisar periódicamente datos como la fecha de nacimiento, el número de teléfono y el perfil social que comparten en sus cuentas de compras, libros, educación y comunidades. Las cuentas que ya no se utilicen deben cerrarse; en las que no puedan cerrarse deben utilizarse contraseñas únicas, y debe eliminarse de los perfiles la información innecesaria.

En el ámbito empresarial, estos incidentes muestran que los métodos de almacenamiento de contraseñas, la segmentación de los datos de clientes, el control de acceso y los procesos de notificación de incidentes deben abordarse de forma conjunta. Por parte de los usuarios, deben combinarse el uso de gestores de contraseñas, la autenticación multifactor, las comprobaciones de contraseñas filtradas y la concienciación sobre el fraude por teléfono o correo electrónico. Los métodos débiles de almacenamiento de contraseñas, como MD5 sin sal, pueden hacer que conjuntos de datos antiguos sigan suponiendo un riesgo durante años.

Encontrar una coincidencia con una dirección de correo electrónico en este registro indica que el usuario figura en el conjunto de datos de Bookchor. El usuario debe determinar primero qué contraseña utilizaba en su cuenta de Bookchor y comprobar después si ha usado la misma contraseña o variantes similares en otras cuentas. Dado que también hay información de teléfono y redes sociales, debe prestar atención no solo a las alertas por correo electrónico, sino también a las notificaciones de mensajería y redes sociales.

Una coincidencia no demuestra que la contraseña se haya transmitido en texto sin formato; sin embargo, la exposición de hashes de contraseñas MD5 sin sal y de datos personales de contacto para mensajería basta para tomar medidas de seguridad. Utilizar contraseñas únicas y autenticación de dos factores, comprobar los mensajes recibidos directamente a través de un canal de confianza y cerrar las cuentas antiguas reduce considerablemente los riesgos de toma de control de cuentas, suplantación de identidad y fraude dirigido que pueden derivarse de la filtración de Bookchor.