Filtración de datos de Canva

Las categorías de datos verificadas son direcciones de correo electrónico, información de ubicación geográfica, nombres, contraseñas y nombres de usuario. Las contraseñas están asociadas a valores hash bcrypt en las cuentas que no utilizan el inicio de sesión mediante redes sociales. Aunque bcrypt se considera más resistente que los métodos de almacenamiento de contraseñas más antiguos y rápidos, el riesgo persiste cuando las contraseñas son débiles o se reutilizan en otros servicios. La combinación de dirección de correo electrónico, nombre de usuario y nombre puede ayudar a los atacantes a relacionar las cuentas de una persona en distintas plataformas. La información de ubicación también puede utilizarse para enviar mensajes falsos de soporte, cometer fraudes mediante campañas regionales o realizar intentos de phishing personalizados. Por ello, el incidente no debe considerarse únicamente un problema de una cuenta de diseño: si el mismo correo electrónico o la misma contraseña se utilizan en otras cuentas, existe un riesgo más amplio de que terceros tomen el control de ellas.

En el incidente de Canva, el número de cuentas verificadas es de 137 272 116. Debe tomarse el 24 de mayo de 2019 como fecha principal de la filtración, el 9 de agosto de 2019 como fecha de incorporación verificada y, también, el 9 de agosto de 2019 como fecha de la última actualización de la fuente. Los campos de datos se limitan a direcciones de correo electrónico, información de ubicación geográfica, nombres, contraseñas y nombres de usuario. Los archivos de diseño, la información de tarjetas de pago, el contenido privado de los equipos, los documentos oficiales de identidad y los datos de contratos corporativos no figuran entre las categorías de datos verificadas para este registro específico de seguridad de la cuenta. La difusión posterior de algunos hashes Bcrypt cuyas contraseñas se habían recuperado por separado constituye un factor de riesgo adicional; sin embargo, el dominio principal que se muestra al usuario debe seguir tratándose como una contraseña. Estos límites ofrecen al usuario una visión realista y clara del riesgo.

El mayor riesgo afecta a las personas que utilizan en otros servicios la dirección de correo electrónico de su cuenta de Canva y una contraseña similar. Los diseñadores, responsables de redes sociales, docentes, estudiantes, equipos de marketing y empleados que gestionan cuentas de marcas se encuentran entre los grupos prioritarios. Si una cuenta de Canva se abrió con un correo electrónico de trabajo, los atacantes pueden combinar esa dirección con el nombre de la empresa, el nombre de usuario y la información de ubicación para enviar mensajes más convincentes. Si el mismo nombre de usuario también aparece en sitios de portafolios, redes sociales o herramientas de trabajo, aumenta el riesgo de que se relacionen las distintas cuentas. Las cuentas antiguas de Canva también son importantes, ya que las contraseñas utilizadas en el pasado pueden seguir siendo válidas en otros servicios. En el caso de los usuarios con acceso a cuentas de equipo, reutilizar contraseñas puede poner en riesgo no solo la cuenta individual, sino también los recursos compartidos de la marca.

Si se ha visto afectado, lo primero que debe hacer es cambiar la contraseña de su cuenta de Canva por una única y robusta. Si ha utilizado la misma contraseña o una similar en otros servicios, debe dar prioridad al cambio de contraseñas en las cuentas de correo electrónico, los perfiles de redes sociales, el almacenamiento en la nube, las herramientas de colaboración, las cuentas publicitarias y los servicios vinculados a medios de pago. Debe elegir una contraseña distinta para cada servicio mediante un gestor de contraseñas y activar la verificación en varios pasos en las cuentas que lo permitan. Compruebe la dirección antes de hacer clic en enlaces de mensajes que parezcan proceder de Canva o ser notificaciones del equipo de diseño. Revise con atención los correos electrónicos falsos sobre plantillas compartidas, invitaciones a archivos de marca, facturas, invitaciones a equipos o suspensión de cuentas. En los equipos corporativos, también deben revisarse las sesiones de las cuentas de administrador, las aplicaciones conectadas y los miembros del equipo.

A largo plazo, las plataformas de diseño y creación de contenido deben protegerse con el mismo cuidado que las cuentas principales de correo electrónico y las cuentas financieras. Utilizar una contraseña única para cada servicio limita los daños derivados de una sola filtración de datos. En las cuentas de equipo, debe priorizarse el acceso basado en roles, revocarse los permisos de los empleados que hayan dejado la organización y prohibirse el uso de contraseñas compartidas. Para las marcas corporativas, los archivos de diseño, las cuentas de redes sociales y los paneles de gestión publicitaria deben considerarse parte de una misma cadena de seguridad. Los usuarios deben revisar periódicamente las cuentas antiguas de Canva y las de otras herramientas creativas que hayan creado con la misma dirección de correo electrónico. El uso de gestores de contraseñas, la verificación en varios pasos, el monitoreo de sesiones y el seguimiento del acceso de los equipos deben convertirse en hábitos de seguridad permanentes.

Cuando aparece el resultado de Canva en LeakData, se entiende que la dirección de correo electrónico está incluida en el conjunto de datos de cuentas de Canva de 2019. Este resultado no demuestra que los archivos de diseño o la información de pago del usuario se hayan visto comprometidos; se limita a los campos verificados del perfil de riesgo y de seguridad de la cuenta. El usuario debe revisar primero su cuenta de Canva y, después, las contraseñas utilizadas durante el mismo período y las cuentas importantes abiertas con la misma dirección de correo electrónico. La cuenta de correo electrónico, las redes sociales, los paneles de gestión de marca, el almacenamiento en la nube y las herramientas de colaboración en equipo deben revisarse en primer lugar. El período principal del incidente es mayo de 2019, y la fecha de incorporación verificada es agosto de 2019. Esta cronología evita que la pantalla Seguridad de la cuenta identifique erróneamente el incidente como un suceso actual y ofrece al usuario el orden de prioridades correcto.