BookCrossing Filtración de datos

Las categorías de datos confirmadas en esta filtración son fechas de nacimiento, direcciones de correo electrónico, ubicaciones geográficas, direcciones IP, nombres, contraseñas y nombres de usuario. Las direcciones de correo electrónico y los nombres de usuario pueden utilizarse para vincular cuentas entre sí, mientras que los nombres y las fechas de nacimiento pueden hacer que los mensajes de phishing resulten más convincentes. Los campos de ubicación geográfica y dirección IP pueden aportar contexto adicional sobre la zona en la que se encuentra el usuario o su actividad en la comunidad.

El aspecto más crítico es que las contraseñas están almacenadas en texto plano. Esto significa que un atacante puede leerlas sin necesidad de descifrarlas. Si el usuario ha utilizado la misma contraseña en otras cuentas, el riesgo no se limita a la cuenta de BookCrossing. Si las cuentas de correo electrónico, redes sociales, compras, foros u otras comunidades de lectores están protegidas con la misma contraseña o con variantes similares, sus contraseñas deben cambiarse cuanto antes.

El alcance verificado de este registro comprende 1 582 323 cuentas y siete categorías principales de datos. Los campos incluidos son fechas de nacimiento, direcciones de correo electrónico, ubicaciones geográficas, direcciones IP, nombres, contraseñas y nombres de usuario. Los datos de tarjetas de pago, los números de teléfono, el contenido de mensajes privados y los documentos de identidad oficiales no figuran entre las categorías de datos verificadas para este registro. La evaluación del riesgo que se presenta al usuario no debe ir más allá de estos límites.

El hecho de que la filtración proceda de una copia de seguridad de la base de datos de 2012 significa que las contraseñas afectadas pueden ser antiguas; sin embargo, esto no elimina el riesgo. Muchos usuarios reutilizan durante años los mismos patrones de contraseñas o los mantienen con pequeños cambios. Por tanto, la antigüedad del registro no es motivo para posponer las medidas de seguridad, especialmente en un incidente que incluye contraseñas en texto plano.

El grupo de mayor riesgo lo forman las personas que tienen una cuenta de BookCrossing y utilizan la misma contraseña en otras cuentas. En las comunidades de lectores, los nombres reales, la información sobre la ciudad o los apodos utilizados durante mucho tiempo pueden facilitar la vinculación de perfiles. Una dirección de correo electrónico, combinada con la fecha de nacimiento y la ubicación, puede utilizarse para crear notificaciones falsas de la comunidad, invitaciones para compartir libros o mensajes sobre la seguridad de la cuenta adaptados a cada usuario.

Los antiguos miembros también están en riesgo. Aunque el usuario no haya utilizado la cuenta desde 2012, el riesgo persiste si reutilizó su contraseña en otros servicios durante ese periodo.

Los usuarios que encuentren una coincidencia deben identificar la contraseña que utilizan en su cuenta de BookCrossing y las otras cuentas en las que repiten el mismo patrón de contraseña. Debido al riesgo que supone la exposición de contraseñas en texto plano, esa contraseña debe dejar de utilizarse en cualquier servicio. Debe crearse una contraseña única y larga para cada cuenta, dando prioridad a las de correo electrónico, redes sociales, compras, almacenamiento en la nube y trabajo. El uso de un gestor de contraseñas hace que este proceso sea más fiable.

Los usuarios deben estar preparados para recibir mensajes de phishing más personalizados debido a la exposición de datos personales como la fecha de nacimiento, el nombre y la ubicación. En lugar de iniciar sesión mediante los enlaces recibidos, deben acceder directamente al servicio correspondiente, evitar abrir archivos adjuntos inesperados y actualizar la información de recuperación de sus cuentas. Debe activarse la autenticación de dos factores en las cuentas más importantes y evitarse el uso de distintas variantes de contraseñas antiguas.

El caso de BookCrossing demuestra que los sitios de comunidades y aficiones también pueden reunir perfiles detallados a partir de datos personales. Los usuarios deben revisar periódicamente la información que comparten en comunidades de libros, foros, juegos y otros intereses, como su nombre, ciudad, fecha de nacimiento y nombre de usuario. Las cuentas que ya no se utilizan deben cerrarse; en las que no puedan cerrarse, deben utilizarse contraseñas únicas. También deben eliminarse los detalles innecesarios de la información pública de los perfiles.

Este incidente recuerda a las instituciones y a quienes administran comunidades que las copias de seguridad antiguas deben protegerse tanto como los sistemas actuales. Si las copias de seguridad de las bases de datos se conservan durante mucho tiempo, deben gestionarse de forma clara el control de acceso, el cifrado, el plazo de conservación y los procesos de eliminación. Por parte de los usuarios, la comprobación de contraseñas filtradas, la autenticación multifactor y la revisión y eliminación de cuentas antiguas deben convertirse en hábitos de seguridad permanentes.

El usuario debe determinar primero qué contraseña utilizaba en esta cuenta y, después, comprobar si todavía utiliza la misma contraseña o variantes similares en otras cuentas. La coincidencia debe tratarse con alta prioridad, especialmente por la presencia de la contraseña en texto plano.

Aunque no recuerde la contraseña, deben considerarse riesgosos los patrones de contraseñas antiguos utilizados en 2012 y en años anteriores. Los usuarios deben utilizar contraseñas únicas, activar la verificación en dos pasos, tener precaución ante mensajes falsos que contengan información personal y cerrar las cuentas de comunidades que ya no utilicen. Estas medidas reducen significativamente los riesgos de apropiación de cuentas, phishing y vinculación de perfiles que pueden derivarse de una filtración de BookCrossing.