Filtración de datos de Chatbooks

El principal riesgo en el caso de Chatbooks es que el nombre, la dirección de correo electrónico, el número de teléfono y la información del perfil de redes sociales puedan vincularse a un mismo usuario. Esta combinación permite a los atacantes enviar mensajes que resulten creíbles para el usuario. En el contexto de un servicio de álbumes fotográficos e impresión de recuerdos, las estafas relacionadas con la familia, las ocasiones especiales, los regalos, los pedidos y las entregas pueden resultar más convincentes. Los usuarios cuyos datos incluyen un número de teléfono pueden recibir mensajes de texto y llamadas dirigidos a ellos; aquellos con un perfil de redes sociales pueden exponerse a que se vigile su actividad, se suplante su identidad o se vincule su perfil con otros perfiles en distintas plataformas.

Almacenar las contraseñas como hashes SHA-512 con sal ofrece una mayor protección que una filtración de contraseñas en texto plano; sin embargo, no basta por sí solo para garantizar la seguridad. Las contraseñas cortas, predecibles o que hayan aparecido en otras filtraciones aún pueden llegar a averiguarse. El riesgo aumenta si el usuario ha reutilizado la misma contraseña en cuentas de correo electrónico, redes sociales, servicios fotográficos, compras o almacenamiento en la nube. También debe tenerse en cuenta la información que señala la presencia de tokens de acceso a redes sociales en una pequeña parte de los registros; aunque no sean válidos o hayan caducado, estos campos pueden ayudar a los atacantes a comprender las conexiones con redes sociales y las relaciones entre cuentas.

El número de cuentas afectadas que figura en este registro es de 2 520 441. La cifra mayor, de aproximadamente 15 millones de registros, se refiere al volumen total de filas u objetos del conjunto de datos; no debe interpretarse como el número de usuarios únicos. Las categorías de datos verificadas incluyen nombres, direcciones de correo electrónico, números de teléfono, perfiles de redes sociales y hashes de contraseñas, además de un riesgo limitado asociado a tokens de acceso. Debe señalarse expresamente que las contraseñas no están en texto plano, sino en formato de hash SHA-512 con sal.

En este registro no hay pruebas verificadas de que se hayan incluido archivos de fotos, álbumes familiares, metadatos de fotos, tarjetas de pago, información bancaria, direcciones físicas o números de identificación oficial. Que Chatbooks sea un servicio centrado en la fotografía no significa que el contenido de las fotos esté entre los campos de datos verificados de este registro. La descripción debe mantener esta distinción; de lo contrario, se comunicaría al usuario un riesgo mayor del que corresponde al alcance real. La información de los perfiles de redes sociales y de los posibles tokens de acceso no debe confundirse con el contenido de las fotos, sino considerarse un riesgo independiente relacionado con las conexiones entre cuentas.

Los usuarios con mayor riesgo son quienes también utilizan la contraseña de su cuenta de Chatbooks en otras cuentas. Deben revisarse especialmente las cuentas de correo electrónico, las de redes sociales, los servicios de almacenamiento de fotos en la nube y las cuentas de compras. Como los servicios de impresión de fotos suelen estar asociados con familiares, ocasiones especiales y regalos, los atacantes pueden preparar mensajes que generen una conexión emocional. Por ejemplo, pueden utilizar asuntos como una notificación de pedido, un enlace a un álbum familiar, un aviso de envío o un descuento en regalos para convencer al usuario de que haga clic en el enlace.

Los usuarios cuyo número de teléfono o perfil de redes sociales figure en el registro también se enfrentan al riesgo de recibir ataques por varios canales. Un atacante puede enviar primero un correo electrónico y después un mensaje por SMS o por redes sociales para reforzar la impresión de que el mensaje es legítimo. En el caso de las personas con una cuenta pública en redes sociales, también puede ser visible información sobre sus familiares, listas de amigos, hábitos de publicación de fotos y ocasiones especiales. Por tanto, el riesgo no se limita a la cuenta de Chatbooks; también importa la visibilidad del usuario en otras plataformas.

Los usuarios deben cambiar la contraseña de su cuenta de Chatbooks y establecer contraseñas nuevas y únicas para todas las cuentas en las que utilicen esa misma contraseña. Aunque no se haya filtrado en texto plano, una contraseña débil o reutilizada puede llegar a averiguarse con el tiempo y probarse en otros servicios. Un gestor de contraseñas facilita la creación de contraseñas distintas y largas para cada servicio. Las cuentas de correo electrónico y de redes sociales deben protegerse de forma prioritaria, ya que se utilizan para restablecer contraseñas y autenticarse en otros servicios.

Debe activarse la autenticación de dos factores en las cuentas de correo electrónico y de redes sociales. Los usuarios deben tener precaución con los enlaces de mensajes inesperados relacionados con Chatbooks, la impresión de fotos, los envíos, los descuentos, los álbumes familiares o los regalos. Deben revisarse las aplicaciones conectadas, las sesiones autorizadas y los accesos de terceros en las cuentas de redes sociales. Hay que eliminar las aplicaciones desconocidas, cerrar las sesiones antiguas y mantener activadas las alertas de seguridad. Nunca deben compartirse códigos de verificación ni facilitarse contraseñas ante solicitudes recibidas por teléfono, bajo ninguna circunstancia.

Los servicios de fotografía y recuerdos están relacionados con la vida privada de los usuarios; por tanto, la seguridad de la cuenta no debe considerarse únicamente una cuestión técnica. A largo plazo, deben utilizarse contraseñas distintas y robustas para las cuentas de servicios familiares, fotografía, almacenamiento en la nube y redes sociales. Deben eliminarse periódicamente las conexiones innecesarias en los servicios vinculados a través de redes sociales y permitir únicamente las aplicaciones que se utilicen activamente. También deben revisarse periódicamente las opciones de cierre de cuentas o eliminación de datos.

Para las instituciones, estas brechas indican la necesidad de clasificar cuidadosamente los datos personales almacenados en los servicios de inicio de sesión vinculados a redes sociales y en los servicios fotográficos. Los tokens de acceso, los hashes de contraseñas y las conexiones entre perfiles deben protegerse con controles de seguridad independientes. Para los usuarios, la estrategia más práctica es separar, siempre que sea posible, las cuentas compartidas para momentos sensibles y servicios familiares de las cuentas de redes sociales, limitar los permisos de las cuentas y verificar por canales oficiales los mensajes inesperados relacionados con fotos o entregas.

Una coincidencia en este registro indica que la dirección de correo electrónico correspondiente está incluida en la lista de direcciones únicas que se supervisa en relación con la brecha de datos de Chatbooks. Una coincidencia no significa que las fotos o los álbumes familiares del usuario se hayan visto comprometidos. El riesgo verificado se refiere a campos como el nombre, el correo electrónico, el teléfono, el perfil de redes sociales y el hash de la contraseña, además de un riesgo limitado asociado a tokens de acceso. El usuario debe empezar por cambiar las contraseñas de las cuentas en las que haya podido utilizar la misma contraseña y revisar las conexiones con redes sociales.

El siguiente paso es mantenerse alerta de forma permanente ante los mensajes fraudulentos relacionados con fotos y redes sociales. Los mensajes sobre un envío, un álbum fotográfico, un descuento para una ocasión especial o un enlace a un álbum familiar deben verificarse a través de la aplicación o del dominio oficial, aunque parezcan legítimos. Debe extremarse la precaución con los enlaces recibidos por mensaje de texto, ya que el número de teléfono puede haber figurado en un registro. Si se detectan sesiones o aplicaciones conectadas desconocidas en las cuentas de redes sociales, deben cerrarse esas sesiones o eliminarse esas aplicaciones y volver a cambiar la contraseña.