CashCrate Filtración de datos

En el caso de CashCrate, los tipos de datos verificados son direcciones de correo electrónico, nombres, direcciones físicas y contraseñas. La exposición conjunta de una dirección de correo electrónico y un nombre hace más convincentes los mensajes de phishing dirigidos a una persona concreta. La información sobre la dirección física, por su parte, amplía el riesgo más allá de la seguridad de las cuentas en línea: pueden elaborarse notificaciones falsas sobre envíos, recompensas, sorteos, impuestos o pagos basadas en la ubicación del usuario y el contexto de las entregas. Esta información puede utilizarse con fines de ingeniería social incluso años después, especialmente en el caso de usuarios que llevan mucho tiempo viviendo en la misma dirección.

El aspecto más crítico del incidente es que algunas contraseñas están en texto plano, mientras que otras están asociadas a hashes MD5 débiles. Una contraseña en texto plano permite a un atacante intentar iniciar sesión en distintos servicios sin necesidad de ningún proceso de descifrado. Los métodos de hash de cálculo rápido, como MD5, tampoco ofrecen protección suficiente frente a las herramientas de ataque modernas. Si el usuario ha empleado la misma contraseña en su cuenta de correo electrónico, un sitio de compras, una red social, un servicio de pago o una cuenta de trabajo, otras cuentas ajenas a CashCrate también podrían estar en riesgo.

El número de cuentas afectadas verificadas para este registro es de 6 844 490. Se considera que el incidente ocurrió en noviembre de 2016, mientras que la filtración se hizo pública en 2017. Las categorías de datos verificadas se limitan al nombre, la dirección de correo electrónico, la dirección física y la contraseña. Según la información disponible públicamente, se ha señalado que las contraseñas de algunas cuentas se almacenan en texto plano, mientras que en las cuentas más recientes se utilizan hashes MD5. Por tanto, ambos escenarios deben tenerse en cuenta al evaluar la seguridad de las contraseñas.

En este registro no se han incluido entre las categorías de datos campos como el número de teléfono, la fecha de nacimiento, la tarjeta de pago, la cuenta bancaria, el número de identificación oficial o las respuestas a encuestas, porque no existen pruebas con el mismo grado de verificación para ellos. Dado que la información sobre la dirección física sí se ha verificado, debe tratarse como una categoría de riesgo independiente para la seguridad del usuario. Además, la cifra de cuentas afectadas no demuestra cuál ha sido la totalidad de usuarios de la plataforma a lo largo de su historia ni que cada fila corresponda a una persona distinta; la cifra utilizada aquí representa el alcance de las cuentas verificadas.

Los usuarios con mayor riesgo son quienes también utilizan la contraseña de su cuenta de CashCrate en otras plataformas. Usar la misma contraseña que en la cuenta de correo electrónico, o una similar, es especialmente peligroso, porque si esa cuenta se ve comprometida, se puede acceder a otras cuentas mediante enlaces de restablecimiento de contraseña. Si se ha utilizado la misma contraseña en sitios de compras, servicios de pago o cuentas de redes sociales, estos serán los primeros lugares en los que un atacante intentará acceder. Si también se ha filtrado la dirección física, esta puede hacer que los mensajes fraudulentos parezcan más personalizados.

El segundo grupo de riesgo lo forman los usuarios que, por su familiaridad con estos temas, pueden responder más rápidamente a mensajes sobre recompensas, encuestas, promociones y envíos. Los usuarios de plataformas de recompensas como CashCrate pueden estar acostumbrados a las notificaciones de pago, los resultados de sorteos, las entregas de paquetes o los mensajes de verificación de cuentas. Los atacantes pueden aprovechar esa expectativa enviando enlaces falsos, archivos maliciosos o formularios que solicitan información personal. Al cruzar los mismos datos de nombre y dirección con distintos conjuntos de datos, el perfil del usuario, tanto en línea como fuera de ella, puede hacerse más detallado.

No debe considerar segura la contraseña utilizada en CashCrate. En primer lugar, debe identificar todas las cuentas en las que haya utilizado la misma contraseña y crear para cada una una contraseña única, larga y difícil de adivinar. Las cuentas de correo electrónico, los servicios de pago, los sitios de compras y las cuentas de redes sociales son prioritarios. Utilice un gestor de contraseñas para evitar reutilizarlas y no vuelva a usar contraseñas anteriores con pequeñas modificaciones. Los atacantes también pueden probar nuevas contraseñas derivadas de la antigua.

Active la autenticación multifactor en su cuenta de correo electrónico y revise las sesiones recientes, las direcciones de correo de recuperación, los números de teléfono y las aplicaciones conectadas. Debido a la exposición de la dirección física, extreme la precaución ante mensajes relacionados con envíos, recompensas, sorteos, pagos por encuestas o devoluciones de impuestos. Ninguna plataforma debería solicitarle su contraseña por correo electrónico. No abra directamente enlaces inesperados; escriba usted mismo la dirección del servicio correspondiente en el navegador. No actúe ante notificaciones sospechosas de pagos o envíos sin verificarlas antes por los canales oficiales.

El incidente de CashCrate muestra que la información almacenada en las plataformas de recompensas y encuestas también tiene un gran valor. A largo plazo, debe utilizar una contraseña distinta para cada servicio, cerrar las cuentas que ya no use y no almacenar en las plataformas más información personal de la necesaria. Solo debe compartir datos como la dirección física cuando sea realmente necesario. Si no puede cerrar una cuenta, elimine la información innecesaria del perfil y utilice una contraseña única para esa cuenta. Usar una dirección de correo electrónico separada para los servicios de encuestas y recompensas puede ayudarle a proteger mejor su cuenta de correo principal.

En el ámbito de la seguridad corporativa, la reutilización de contraseñas personales también debe tomarse en serio. Los empleados no deben utilizar en las cuentas de trabajo contraseñas de plataformas personales. Las organizaciones pueden reducir este riesgo mediante políticas que promuevan la autenticación multifactor, la detección de inicios de sesión de riesgo, la comprobación de contraseñas filtradas y el uso de gestores de contraseñas. La formación en concienciación sobre seguridad debe explicar que no solo las filtraciones de grandes redes sociales, sino también las plataformas de recompensas y encuestas aparentemente pequeñas, pueden ser puntos débiles en la seguridad de las cuentas.

Una coincidencia con una dirección de correo electrónico en este registro indica que esa dirección aparece en la lista de cuentas verificadas de la filtración de datos de CashCrate. La coincidencia no significa que todas sus cuentas estén comprometidas actualmente; sin embargo, si utilizó la contraseña filtrada en otros servicios, el riesgo puede persistir. El primer paso es intentar recordar la contraseña que utilizó en CashCrate y cambiarla en todas las cuentas en las que pueda haber usado la misma. Si no puede recordarla, también debe considerar de riesgo los patrones de contraseñas que utilizaba en 2016.

Debe examinar con mayor atención los mensajes que incluyan su nombre, su correo electrónico y su dirección física. Las notificaciones de envíos, recompensas o pagos que parecen auténticas también pueden ser falsas. Tras cambiar las contraseñas, esté atento a las alertas de seguridad y, si recibe notificaciones de inicios de sesión inesperados, cierre todas las sesiones de la cuenta correspondiente. El impacto duradero de este incidente se debe principalmente a la reutilización de contraseñas; por ello, no debe considerar suficiente un único cambio de contraseña y debe adoptar el uso de contraseñas únicas y la autenticación multifactor como normas de seguridad en todas las cuentas importantes.