Filtración de datos de Bookmate

En la filtración de Bookmate, los campos de datos verificados son direcciones de correo electrónico, nombres, nombres de usuario, fechas de nacimiento, información sobre el género, ubicaciones geográficas y contraseñas. Las direcciones de correo electrónico y los nombres de usuario pueden utilizarse para vincular cuentas entre sí. Por su parte, el nombre, la fecha de nacimiento y la información sobre el género permiten preparar mensajes más personalizados. La información de ubicación puede utilizarse de forma indebida para conocer el perfil regional del usuario o crear notificaciones falsas más convincentes con contenido local.

Almacenar las contraseñas en formato SHA-512 con sal reduce la probabilidad de que usuarios con la misma contraseña generen resultados idénticos; sin embargo, SHA-512 es una familia de funciones hash que pueden calcularse rápidamente. Las contraseñas débiles o reutilizadas pueden volverse predecibles con el tiempo. Por tanto, el riesgo no se limita a la cuenta de Bookmate. Si el usuario ha empleado la misma contraseña en cuentas de correo electrónico, redes sociales, comunidades de lectores, compras o trabajo, también debe revisar esas cuentas.

El alcance verificado de este registro es de 3 830 916 direcciones de correo electrónico únicas y siete categorías de datos: fechas de nacimiento, direcciones de correo electrónico, información sobre el género, ubicaciones geográficas, nombres, contraseñas y nombres de usuario. Los datos de tarjetas de pago, los números de teléfono, las direcciones físicas, el historial de lectura y el contenido de mensajes privados no figuran entre las categorías de datos verificadas para este registro. Estos límites son importantes tanto para informar al usuario con precisión como para evitar que se incluyan detalles no verificados en el alcance de la filtración.

El incidente afecta a cuentas de usuarios del servicio Bookmate; no debe darse por hecho que otras aplicaciones similares de libros electrónicos, editoriales u operadores de telefonía móvil asociados también hayan sufrido una filtración. La cifra del registro indica el alcance en términos de direcciones de correo electrónico únicas. Aunque el número de filas o registros sin procesar puede variar entre distintas fuentes, la planificación debe basarse en el número de cuentas únicas con acciones de usuario verificadas y en los tipos de datos verificados.

Los usuarios con mayor riesgo son quienes reutilizan la contraseña de su cuenta de Bookmate en otras cuentas. Los campos personales, como la fecha de nacimiento, el nombre, el género y la ubicación, pueden facilitar que se dirijan a los usuarios mensajes falsos sobre suscripciones, recomendaciones de lectura, verificación de cuentas o campañas regionales. El riesgo de vincular perfiles entre sí también aumenta para quienes usan el mismo nombre de usuario en comunidades de lectores, redes sociales y foros.

Como Bookmate fue un servicio que se extendió a distintas regiones en el pasado, es posible que los usuarios hayan olvidado cuentas creadas hace muchos años. Si las contraseñas de esas cuentas antiguas todavía se utilizan en otros servicios, el riesgo sigue vigente. Los usuarios que se registraron con su dirección de correo electrónico principal, no utilizan un gestor de contraseñas o mantienen patrones de contraseñas antiguos con pequeños cambios deben dar prioridad a las medidas relacionadas con este registro.

Los usuarios cuya información coincida con este registro deben identificar primero la contraseña que utilizaron en su cuenta de Bookmate y las demás cuentas en las que usan esa misma contraseña. Si todavía utilizan la misma contraseña o una similar en otra cuenta, deben cambiarla de inmediato. Se debe dar prioridad a las cuentas de correo electrónico, redes sociales, almacenamiento en la nube, compras, suscripciones y trabajo. Crear una contraseña única y larga para cada cuenta reduce el riesgo de ataques de fuerza bruta basados en conjuntos de datos antiguos.

Los usuarios deben ser cautelosos ante mensajes personalizados sobre renovaciones de suscripciones, recomendaciones de lectura falsas, seguridad de la cuenta o descuentos. En lugar de iniciar sesión a través de los enlaces recibidos, deben acceder directamente al servicio correspondiente, evitar abrir archivos inesperados y actualizar la información de recuperación de la cuenta. En las cuentas importantes se debe activar la verificación en dos pasos y dejar de utilizar variantes de contraseñas antiguas.

El caso de Bookmate muestra que los servicios de contenido digital y de suscripción también contienen información detallada sobre los perfiles personales. Los usuarios deben revisar periódicamente la información de perfil que comparten en suscripciones de lectura, música, video y educación. Las cuentas que ya no se utilizan deben cerrarse. En las que no puedan cerrarse, se deben usar contraseñas únicas y limitar campos como la fecha de nacimiento, la ubicación o el nombre de usuario visible públicamente para que no contengan detalles innecesarios.

Para los proveedores de servicios, estos incidentes muestran que, además del método de almacenamiento de contraseñas, también son importantes la segmentación de los datos de perfil, el control de acceso, la gestión de copias de seguridad y los procesos de notificación de incidentes. Por parte del usuario, deben combinarse la comprobación de contraseñas filtradas, el uso de gestores de contraseñas robustos, la autenticación multifactor y la eliminación de cuentas antiguas. Aunque una cuenta de suscripción parezca poco importante, su impacto puede aumentar al combinarse con datos del perfil personal.

Encontrar una coincidencia con una dirección de correo electrónico en este registro indica que el usuario está incluido en el conjunto de datos de Bookmate. El usuario debe determinar primero qué contraseña utilizó en su cuenta de Bookmate y, después, comprobar si ha usado la misma contraseña o variantes similares en otras cuentas. Los campos como la fecha de nacimiento, la ubicación y el nombre pueden hacer que los mensajes parezcan más personales; por ello, los mensajes sobre la seguridad de la cuenta deben examinarse con atención.

Una coincidencia no demuestra que la contraseña se haya transmitido en texto plano; sin embargo, la exposición de hashes de contraseñas SHA-512 con sal y de campos del perfil personal constituye una advertencia de seguridad suficiente. El riesgo de apropiación de cuentas y phishing derivado de la filtración de Bookmate se reduce al combinar contraseñas únicas, autenticación de dos factores, comprobación de alertas de correo electrónico directamente desde un canal de confianza y eliminación de cuentas de suscripción antiguas.