Filtración de datos de CafePress

Los principales tipos de datos cuya exposición se ha verificado son direcciones de correo electrónico, nombres, números de teléfono, direcciones físicas y contraseñas. Como las contraseñas se almacenaban como hashes SHA-1, las contraseñas cortas o de uso común corrían un mayor riesgo de ser recuperadas mediante intentos de adivinación sin conexión. Combinar una dirección de correo electrónico con un nombre, un número de teléfono o una dirección particular puede hacer mucho más convincentes los intentos de phishing dirigido, los avisos de entrega falsos, las estafas telefónicas y el uso indebido de los mecanismos de recuperación de cuentas. Una investigación de un organismo regulador también informó de millones de preguntas y respuestas de seguridad, más de 180 000 números de la Seguridad Social de Estados Unidos y decenas de miles de números parciales de tarjetas de pago y fechas de vencimiento. Estas categorías adicionales correspondían a subconjuntos más reducidos y no deben interpretarse como si afectaran a la totalidad de los 23,2 millones de direcciones. No hay pruebas verificadas que permitan afirmar que se expusieron números completos de tarjetas, códigos CVV o datos financieros de todos los usuarios.

La fecha de referencia del incidente es el 20 de febrero de 2019. Según lo informado, un atacante aprovechó fallos de seguridad ese mes, y aproximadamente un mes después se informó a la empresa de una vulnerabilidad y del robo de datos de consumidores. Aunque se corrigió la vulnerabilidad, la investigación exhaustiva se retrasó durante meses; una advertencia adicional en abril de 2019 tampoco dio lugar a una comunicación inmediata y clara a los clientes. En agosto se exigió a los usuarios que cambiaran sus contraseñas, pero al principio la solicitud se presentó como una actualización general de la política de contraseñas. No notificar a los clientes afectados hasta septiembre de 2019 prolongó el periodo durante el cual las contraseñas y respuestas de recuperación robadas podían utilizarse de forma indebida. No se detalló públicamente la técnica exacta de acceso inicial, por lo que atribuir el incidente a la explotación de una vulnerabilidad concreta o a un método de ataque específico sería especulativo.

El grupo de riesgo más amplio está formado por las personas cuyas direcciones de correo electrónico estaban vinculadas a cuentas de CafePress en el momento del incidente. Quienes reutilizaron la misma contraseña en otros servicios se enfrentan al riesgo de ataques de reutilización automatizada de credenciales, mientras que los usuarios cuyos nombres, direcciones o números de teléfono estaban presentes pueden recibir estafas más personalizadas. Las personas cuyas respuestas a preguntas de seguridad se incluyeron deben considerar comprometidas las respuestas que hayan repetido en otros servicios como secretos para recuperar sus cuentas. El grupo más reducido cuyos números de la Seguridad Social de Estados Unidos quedaron expuestos corre un mayor riesgo de suplantación de identidad y creación fraudulenta de cuentas; los usuarios cuyos datos parciales de tarjetas aparecieron deben vigilar de cerca los movimientos de sus tarjetas y las comunicaciones bancarias. Haber cerrado una cuenta antes del incidente no demuestra por sí solo que los datos conservados anteriormente no estuvieran en los sistemas afectados.

Cambie la contraseña de CafePress y todas las contraseñas idénticas o similares que utilice en otros servicios, sustituyendo cada una por una contraseña larga y única. Active la autenticación multifactor siempre que esté disponible y utilice un gestor de contraseñas para evitar reutilizarlas en el futuro. Actualice las respuestas a preguntas de seguridad que haya repetido y verifique la dirección de correo electrónico y el número de teléfono de recuperación asociados a sus cuentas importantes. No siga enlaces en mensajes inesperados relacionados con CafePress sobre restablecimientos de contraseña, pedidos, reembolsos o entregas; acceda al servicio escribiendo usted mismo la dirección conocida. Las personas a las que se haya notificado específicamente que su número de la Seguridad Social de Estados Unidos podría estar implicado deben revisar sus informes de crédito y considerar una alerta de fraude o un bloqueo de crédito cuando corresponda. Si sus datos parciales de tarjeta se vieron afectados, supervise las transacciones e informe de inmediato al emisor de la tarjeta de cualquier actividad sospechosa.

Las contraseñas únicas, la autenticación multifactor y las revisiones periódicas de los mecanismos de recuperación de cuentas proporcionan la base más sólida que puede aplicarse a distintos servicios. Si no puede cambiar una dirección de correo electrónico expuesta, considere los mensajes inesperados de inicio de sesión y restablecimiento de contraseña como señales de alerta temprana. Dado que los delincuentes pueden utilizar datos reales de direcciones, teléfonos y compras para que sus solicitudes parezcan legítimas, verifique las peticiones urgentes a través de otro canal de confianza. Los usuarios cuyos datos de identidad se hayan visto afectados deben revisar sus informes de crédito de forma continuada y, al cerrar cuentas que ya no utilicen, solicitar por separado la eliminación de sus datos o una aclaración de los plazos de conservación. Para los operadores de servicios, el uso de técnicas modernas de hash de contraseñas, el cifrado de identificadores sensibles, la eliminación de datos innecesarios, una respuesta a incidentes probada y la notificación oportuna a los clientes son medidas duraderas que limitan los daños de futuras filtraciones.

Busque su dirección de correo electrónico en LeakData para comprobar si figura en el registro de la filtración de CafePress. Consulte únicamente direcciones que le pertenezcan o que esté autorizado a revisar. Una coincidencia significa que la dirección aparece en el conjunto de datos verificado; no demuestra que alguien haya tomado el control de la cuenta ni que todos los tipos de datos enumerados aparecieran en su registro individual. La ausencia de resultados no debe invalidar un aviso de seguridad recibido a través de otro canal de confianza, ya que la cobertura y la verificación del conjunto de datos pueden cambiar con el tiempo. Si hay una coincidencia, dé prioridad a sustituir las contraseñas reutilizadas y, después, revise la configuración de recuperación y la actividad financiera según las categorías de datos que le afecten.