Filtración de datos de Bukalapak

El conjunto de datos verificado contenía direcciones de correo electrónico, nombres de usuario, direcciones IP, nombres y hashes de contraseñas protegidos con bcrypt y SHA-512 con sal. No hay pruebas de que se distribuyeran contraseñas en texto plano, pero el uso de funciones hash robustas no elimina el riesgo que generan las contraseñas débiles o reutilizadas. Los anuncios en foros también afirmaban que había campos como direcciones postales, fechas de nacimiento o números de teléfono, pero esos campos no se incluyen porque no quedaron suficientemente acreditados en las categorías de datos canónicas. La cifra de 13 369 666 corresponde a direcciones de correo electrónico únicas; no representa el número total de filas, la totalidad de los usuarios de Bukalapak ni el número de personas afectadas por cada campo.

El registro corresponde a datos de copias de seguridad de Bukalapak que abarcan hasta el 23 de octubre de 2017. El incidente se descubrió en marzo de 2019 y se incorporó a los catálogos públicos de filtraciones en abril de 2019. No se han confirmado el método de acceso inicial, la vulnerabilidad explotada ni el sistema exacto del que se extrajo la copia de seguridad, por lo que no se presenta como hecho ningún vector de ataque detallado. En mayo de 2020, la reaparición de aproximadamente 13 millones de registros de Bukalapak se interpretó como un nuevo incidente. La empresa afirmó que su investigación había determinado que los informes que circulaban se referían al intento del año anterior y que no se había producido ninguna nueva filtración. Otro conjunto de datos de 91 millones de registros, del que se informó por esas mismas fechas, pertenecía a otra plataforma indonesia de comercio electrónico y no debe sumarse al total de Bukalapak.

El mayor riesgo lo corren quienes tenían una cuenta de Bukalapak antes de finales de 2017 y reutilizaron la misma contraseña en otros servicios. Una persona que cerró o dejó de usar su cuenta hace años puede seguir expuesta, porque una dirección de correo electrónico, un nombre de usuario y un hash de contraseña pueden continuar circulando sin cambios. Las contraseñas cortas, predecibles o basadas en palabras del diccionario son menos resistentes a los intentos de adivinación sin conexión, incluso cuando están protegidas con bcrypt o SHA-512 con sal. El riesgo aumenta si la misma contraseña protegía la cuenta de correo electrónico, ya que acceder al correo puede dejar expuestos los enlaces de restablecimiento de contraseñas de muchos servicios. Los registros que contienen un nombre y una dirección IP resultan más útiles para ataques de phishing dirigidos que hacen referencia a una ubicación o a compras anteriores. Una coincidencia no significa que se hayan expuesto tarjetas de pago, cuentas bancarias o documentos de identidad; esos campos no figuran entre las categorías de datos verificadas.

Si recuerda la contraseña que usaba en Bukalapak en 2017, identifique todas las cuentas que aún utilizan esa misma contraseña o una similar. Empiece por las cuentas de correo electrónico, banca, compras y redes sociales, y cree una contraseña única y larga para cada servicio; un gestor de contraseñas de confianza facilita eliminar la reutilización. Active la verificación en dos pasos en Bukalapak y en la cuenta de correo electrónico y, después, revise las sesiones activas y los dispositivos conectados. Compruebe si hay cambios que no reconoce en la dirección de correo de recuperación, el número de teléfono y las reglas de reenvío. No responda a ningún mensaje que use como pretexto un pedido de Bukalapak, un reembolso, un pago a un vendedor o una compensación por la filtración para solicitarle una contraseña, un código de un solo uso o un pago. Abra la aplicación o escriba usted mismo la dirección oficial en lugar de seguir el enlace facilitado. Si recibe una alerta de inicio de sesión fallido, un restablecimiento de contraseña inesperado o un aviso de un nuevo dispositivo, cambie de inmediato la contraseña correspondiente y cierre las demás sesiones. Conserve la fecha y los datos del remitente de cualquier comunicación sospechosa y notifíquela al proveedor del servicio.

Las credenciales antiguas extraídas de copias de seguridad pueden circular durante años, por lo que la protección no debe terminar cuando disminuya la atención al incidente. Utilice los informes de seguridad del gestor de contraseñas para sustituir periódicamente las contraseñas reutilizadas, débiles o expuestas anteriormente. Considere la cuenta de correo electrónico como el centro de su identidad digital y protéjala con una contraseña segura, verificación en dos pasos y opciones de recuperación actualizadas. Si utiliza un mismo nombre de usuario en muchas plataformas, recuerde que los atacantes pueden vincular esas cuentas. Un mensaje sobre una compra que indique correctamente un nombre o un detalle del pedido no es automáticamente fiable; verifíquelo de forma independiente en el historial de pedidos de la aplicación. Antes de cerrar una cuenta que ya no utiliza, elimine los métodos de pago guardados, las aplicaciones conectadas y los campos innecesarios del perfil. Las políticas de conservación de copias de seguridad y de acceso a ellas requieren la misma protección que los sistemas de producción. Cuando aparezca otra afirmación sobre una filtración de Bukalapak, compare su fecha, el total de cuentas únicas y los campos expuestos para determinar si se trata de un nuevo incidente o de datos antiguos que vuelven a circular.

Busque en LeakData.io la dirección de correo electrónico que utilizaba en Bukalapak alrededor de 2017 para comprobar si coincide con este registro. Una coincidencia indica que la dirección figura en el conjunto de datos verificado; no significa que el nombre de usuario, la dirección IP, el nombre y el hash de contraseña estuvieran todos completos en un mismo registro. La ausencia de resultados no demuestra que no haya una cuenta creada con otra dirección, por lo que debe comprobar por separado sus antiguas direcciones de correo laborales y personales. Nunca facilite una contraseña, un hash de contraseña, un código de un solo uso, información de pago ni un documento de identidad en respuesta a un resultado de búsqueda. Si aparece una coincidencia, dé prioridad a dejar de reutilizar contraseñas antiguas, proteger la cuenta de correo electrónico y activar la verificación en dos pasos. No sume al total los anuncios de venta de datos de Bukalapak de 2020 como si correspondieran a un incidente independiente de 13 millones de cuentas. Tampoco atribuya a este registro la cifra de 91 millones de registros que pertenece a otra plataforma. Mantener separados los incidentes y sus respectivas cifras evita exagerar el riesgo o atribuirlo a la organización equivocada.