Cannabis.com Filtración de datos

Entre los tipos de datos verificados figuran fechas de nacimiento, direcciones de correo electrónico, información de ubicación geográfica, contraseñas antiguas, identificadores de mensajería instantánea, direcciones IP, contraseñas, mensajes privados, nombres de usuario y actividad en el sitio. Estos campos pueden suponer un riesgo por sí solos; cuando aparecen juntos en el mismo conjunto de cuentas, aumenta la probabilidad de que los atacantes identifiquen a las personas, elaboren perfiles sobre ellas y diseñen ataques de phishing dirigidos.

Las direcciones de correo electrónico y los nombres de usuario pueden utilizarse para vincular las cuentas de una persona en distintos sitios. Los campos de contraseñas y contraseñas antiguas pueden probarse en otros servicios bajo la suposición de que el usuario pudo haber elegido contraseñas iguales o similares. Las direcciones IP y la información de ubicación geográfica pueden revelar la región aproximada del titular de la cuenta o sus patrones de conexión anteriores. Los datos del perfil, como la fecha de nacimiento, pueden facilitar la deducción de las respuestas a las preguntas de autenticación.

Los mensajes privados son una de las partes más delicadas de este incidente. Las comunicaciones del foro pueden incluir preferencias personales, relaciones sociales, contactos profesionales, indicios relacionados con la salud o pensamientos que el usuario no haya compartido públicamente. Los atacantes pueden utilizar estos textos para chantajear, dañar la reputación, cometer fraudes dirigidos o recurrir a la ingeniería social. Los datos de actividad en el sitio también aportan contexto sobre los temas que se leen, las secciones del foro en las que hay actividad o el grado de actividad de la cuenta.

La fecha que debe tomarse como confirmada para el incidente de Cannabis.com es el 5 de febrero de 2014, y su incorporación a la base de datos se produjo el 1 de junio de 2014. El número de cuentas únicas afectadas es de 227 746. Los datos están vinculados al foro de Cannabis.com basado en vBulletin y centrado en la marihuana, y circularon públicamente tras la filtración. Como no se ha verificado una atribución explícita a ningún grupo de atacantes, la información sobre la autoría del incidente no se considera definitiva.

También es importante tener en cuenta los límites del alcance. Este incidente afecta a las cuentas del foro de Cannabis.com y a los datos de los usuarios vinculados al foro; no hay datos verificados sobre tarjetas de pago, cuentas bancarias, pasaportes, números de documentos oficiales de identidad ni historiales directos de transacciones financieras. La inclusión de mensajes privados y actividad en el sitio entre los tipos de datos hace que el incidente sea grave desde el punto de vista de la privacidad, pero incluir categorías no verificadas induciría al usuario a error. Por ello, la evaluación del riesgo debe basarse únicamente en las categorías verificadas.

La presencia de aproximadamente diez mil mensajes privados en el conjunto de datos genera un impacto que no puede medirse solo por el número de cuentas. Para las personas que se hayan registrado en otros foros o hayan creado cuentas en redes sociales con la misma dirección de correo electrónico, existe un riesgo en cadena. Sin embargo, esto no significa que todos los visitantes de Cannabis.com estén afectados; el riesgo se limita a los usuarios que tienen una cuenta en el foro y cuyos datos se han filtrado.

El grupo de mayor riesgo está formado por las personas que eran miembros del foro de Cannabis.com antes de 2014 o en torno a ese período, que utilizaban la misma dirección de correo electrónico en otros servicios y que repetían la contraseña del foro en otras cuentas. En particular, probar contraseñas antiguas en otras cuentas puede facilitar los intentos de toma de control incluso años después. Las personas que reutilizan contraseñas con pequeñas modificaciones también se enfrentan a un riesgo similar.

Los usuarios que comparten en el foro su nombre real, ubicación, fecha de nacimiento o cuenta de mensajería instantánea corren un mayor riesgo de que se vincule su identidad con esos datos. Quienes no desean que su pertenencia al foro se haga visible por motivos laborales, familiares, de salud, legales o por preferencias personales pueden afrontar riesgos para su reputación y privacidad. Si los mensajes privados incluyen números de teléfono, direcciones, relaciones laborales, intenciones de compra u otros detalles personales, el riesgo se extiende más allá de la cuenta del foro.

Un riesgo adicional para los usuarios que se registran con una dirección de correo electrónico corporativa es la vinculación de su actividad en el foro con su identidad laboral. Esta situación puede permitir a los atacantes preparar mensajes de phishing más convincentes. Si se utiliza el mismo nombre de usuario en distintas plataformas, los datos del foro pueden vincularse con redes sociales, cuentas de mensajería u otros perfiles en comunidades.

Si la dirección de correo electrónico vinculada a la cuenta de Cannabis.com sigue en uso, la prioridad es cambiar la contraseña de todas las cuentas que utilicen contraseñas iguales o similares. Elija una contraseña única, larga y aleatoria para cada servicio y active la autenticación de dos factores en las cuentas que lo permitan. Aunque la antigua contraseña del foro ya no parezca estar activa, el riesgo persiste si se utilizó en otras cuentas en el pasado.

También debe proteger la cuenta de correo electrónico, porque la información filtrada de los foros suele utilizarse junto con intentos de phishing dirigidos a esa cuenta. Tenga cuidado con los mensajes que hagan referencia a Cannabis.com o a su historial en el foro, no haga clic directamente en sus enlaces y revise con atención las notificaciones de restablecimiento de contraseña. Compruebe las alertas de inicio de sesión inesperadas, las notificaciones de nuevos dispositivos y las sesiones sospechosas desde la configuración de seguridad.

Si compartió información personal en mensajes privados, el riesgo no termina con el simple cambio de contraseña. Revise qué otras personas, cuentas o vías de comunicación se mencionan en los mensajes y refuerce la configuración de privacidad de los números de teléfono, direcciones, nombres de usuario o datos de redes sociales que puedan haber quedado expuestos. Si utiliza el mismo nombre de usuario en otras plataformas, conviene limitar la posibilidad de encontrar su perfil mediante búsquedas y su visibilidad.

Este tipo de filtraciones antiguas de datos de foros puede aprovecharse para realizar intentos de phishing y de toma de control de cuentas incluso años después de que los datos se hayan difundido en línea. Por ello, los usuarios deben evaluar no solo las cuentas que tenían en el momento del incidente, sino también todas las cuentas importantes que hayan abierto a lo largo de los años con la misma dirección de correo electrónico. Utilizar un gestor de contraseñas, generar contraseñas únicas para cada cuenta y eliminar por completo las contraseñas antiguas de los archivos son medidas fundamentales para la protección a largo plazo.

La estrategia más adecuada para proteger la información personal consiste en compartir la menor cantidad posible de datos en foros y sitios de comunidades. Los campos como la fecha de nacimiento, la ubicación, el identificador de mensajería instantánea y el nombre real deben dejarse vacíos o tener su visibilidad restringida si no son obligatorios. La elección del nombre de usuario también es importante: utilizar el mismo en muchos sitios facilita la combinación de distintos conjuntos de datos.

En el ámbito empresarial, no debe olvidarse que los empleados pueden convertirse en objetivos a causa de antiguas filtraciones de foros. Los equipos de seguridad deben reducir la reutilización de contraseñas antiguas vinculadas a los correos electrónicos de los empleados, promover la autenticación multifactor y ofrecer formación de concienciación frente a ataques de phishing que incluyan información sensible sobre la pertenencia a comunidades. Como los datos de filtraciones antiguas pueden utilizarse en nuevos ataques, la supervisión y las buenas prácticas de gestión de contraseñas deben mantenerse de forma continua.

Si desea saber si le afectó la filtración de datos de Cannabis.com, debe comprobar su dirección de correo electrónico en una pantalla de verificación confiable. Un resultado positivo no significa necesariamente que tenga una cuenta activa en Cannabis.com en la actualidad; indica que la dirección de correo electrónico estaba presente en los datos del foro de 2014. No obstante, si utilizó la antigua contraseña y el nombre de usuario en otros servicios, debe tomar medidas de seguridad urgentes.

Si el resultado es negativo, tenga en cuenta que una misma persona puede haberse registrado con distintas direcciones de correo electrónico. Debe comprobar por separado los correos electrónicos personales antiguos, los laborales y las cuentas abiertas con seudónimos. Si obtiene un resultado positivo, también debe revisar sus direcciones de correo electrónico de recuperación de cuentas, las preguntas de seguridad y los dispositivos conectados después de cambiar la contraseña.

La filtración de Cannabis.com demuestra que las cuentas utilizadas en comunidades de carácter sensible no deben considerarse cuentas de foro corrientes. La combinación de correo electrónico, contraseña, dirección IP y mensajes privados supone un riesgo persistente de vinculación de identidad, presión social, phishing dirigido y toma de control de cuentas. La respuesta más eficaz consiste en dejar de utilizar definitivamente la contraseña filtrada, reforzar las cuentas críticas vinculadas al mismo correo electrónico y volver a evaluar si la información personal incluida en los mensajes privados sigue suponiendo un riesgo hoy.