Filtración de datos de ClickASnap

En el incidente de ClickASnap, las direcciones de correo electrónico, los nombres de usuario y los hashes de contraseñas constituyen los principales puntos de riesgo para la seguridad de las cuentas. La combinación de correo electrónico y nombre de usuario permite identificar a una persona y puede servir a los atacantes para localizar cuentas, solicitar restablecimientos de contraseña e intentar ataques de phishing dirigidos. Aunque las contraseñas estén en formato de hash SHA-512, si un usuario eligió una contraseña corta, predecible o reutilizada de otro servicio, podría llegar a recuperarse a partir del hash con el tiempo. Por ello, la reutilización de contraseñas es uno de los riesgos prácticos más importantes de este incidente.

Los nombres, las direcciones físicas y los importes pagados asociados a los registros de suscripciones de pago añaden otro nivel de riesgo. Estos datos pueden revelar a qué creador de contenido paga el usuario en la plataforma o qué suscripción tiene. Esta información puede utilizarse para elaborar mensajes falsos sobre pagos, renovaciones de suscripciones, confirmaciones de ingresos, formularios fiscales, pagos por ventas de fotografías o verificaciones de cuentas. Los perfiles de redes sociales también pueden permitir vincular la identidad del usuario como fotógrafo con sus otros perfiles en línea. Esto supone un riesgo para la privacidad, especialmente para los creadores de contenido que trabajan bajo un seudónimo.

El número verificado de cuentas afectadas en este registro es de 3 262 980. La fecha del incidente figura como el 24 de septiembre de 2022. Los campos verificados son direcciones de correo electrónico, nombres de usuario, hashes de contraseñas, nombres, direcciones físicas, registros de compras o suscripciones y perfiles de redes sociales. Es importante señalar que los nombres, las direcciones y los importes pagados podrían limitarse a los registros de suscripciones de pago; no debe darse por hecho que estos campos estén presentes para todos los usuarios. Una cuenta de usuario general no debe considerarse dentro del mismo alcance que un registro de suscripción de pago.

Este registro no incluye categorías de datos verificadas correspondientes a contenido fotográfico, metadatos de fotografías, números de tarjetas de pago, información bancaria, documentos oficiales de identidad ni saldos de ingresos obtenidos directamente en la plataforma. Aunque algunas descripciones más amplias mencionen campos adicionales, la lista de categorías de datos de este registro debe limitarse a los campos que puedan respaldarse con pruebas. En lugar de transmitir al usuario una afirmación general como 'se filtró información financiera', sería más preciso explicar que 'el importe pagado estaba incluido en los registros de suscripciones o compras'.

Los usuarios con mayor riesgo son quienes también utilizan la contraseña de su cuenta de ClickASnap en otras plataformas. Deben revisarse primero las cuentas vinculadas a comunidades de fotografía, las cuentas de redes sociales, las cuentas de correo electrónico y las notificaciones de pago. Quienes reutilizan su nombre de usuario en varios sitios de fotografía o perfiles de redes sociales están más expuestos al riesgo de vinculación entre perfiles. Si el nombre de usuario aparece junto con información de perfiles de redes sociales, un atacante puede contactar con la misma persona a través de distintas plataformas.

Los usuarios con una suscripción de pago o que participan en un modelo de creación de contenido también son más vulnerables a ataques basados en notificaciones falsas de pagos, ingresos, renovaciones de suscripciones e impuestos. Para las personas cuya dirección física figura en el registro, los mensajes de verificación de dirección, envío, facturación o avisos de suscripción pueden resultar más convincentes. El riesgo para la privacidad también es importante para los fotógrafos profesionales o semiprofesionales, ya que la presencia del nombre real, la dirección y el perfil social en un mismo registro puede facilitar la vinculación de su identidad creativa en línea con información de su vida real.

Debe cambiar la contraseña de su cuenta de ClickASnap. Si ha utilizado la misma contraseña o una similar en otras cuentas, cambie también las contraseñas de esas cuentas y utilice una distinta y robusta en cada una. Dé prioridad a las cuentas de correo electrónico, los perfiles de redes sociales, los sitios para compartir fotografías, las notificaciones de pago y los servicios de almacenamiento en la nube. Un gestor de contraseñas facilita la creación de una contraseña única para cada servicio. El uso de hashes SHA-512 no hace que reutilizar una contraseña débil sea seguro.

Revise las aplicaciones conectadas y las sesiones de sus cuentas de redes sociales. Elimine las conexiones que no reconozca y active la autenticación multifactor. Examine con cuidado los enlaces de mensajes relacionados con ClickASnap, ventas de fotografías, suscripciones, pagos de ingresos, avisos sobre derechos de autor o verificaciones de cuentas. Aunque el número de tarjeta de pago no sea un campo verificado en este registro, los mensajes que soliciten datos de tarjetas o información bancaria deben considerarse de alto riesgo. Si necesita realizar una transacción, acceda directamente a la plataforma mediante una dirección conocida.

La seguridad de las cuentas en las plataformas para creadores de contenido no se limita a proteger las contraseñas; también deben considerarse en conjunto la identidad real, el contexto de los pagos y los vínculos con perfiles de redes sociales. A largo plazo, utilice contraseñas distintas para sus cuentas de plataformas de fotografía, ventas, redes sociales y correo electrónico. Si trabaja bajo un seudónimo, comparta su nombre real y su dirección únicamente en los campos donde sea obligatorio, y no deje información personal innecesaria en perfiles públicos. Revise periódicamente los registros antiguos de suscripciones y pagos.

Desde la perspectiva de las plataformas, las suscripciones de pago y los datos de los creadores de contenido requieren capas de protección independientes. Cuando un mismo incidente expone datos de usuarios, importes pagados y vínculos con perfiles de redes sociales, los atacantes pueden construir engaños más convincentes. Por ello, deben ponerse a prueba periódicamente los permisos de acceso, los controles de exportación, los métodos de almacenamiento de contraseñas y los procesos de notificación de incidentes. Los usuarios, por su parte, no deben considerar sus cuentas en comunidades de fotografía como cuentas de ocio de bajo riesgo, sino como cuentas vinculadas a su marca personal y a su fuente de ingresos.

Una coincidencia en este registro indica que la dirección de correo electrónico correspondiente figura entre las cuentas asociadas a la filtración de datos de ClickASnap. Una coincidencia no significa que la tarjeta de pago, la cuenta bancaria o los archivos de fotografías del usuario estén incluidos en el alcance verificado de este registro. El riesgo está relacionado con campos como el correo electrónico, el nombre de usuario, el hash de la contraseña, el perfil de redes sociales y, en algunos registros de suscripciones de pago, el nombre, la dirección y el importe pagado. Su primera medida debe ser dejar de reutilizar contraseñas y proteger su cuenta de correo electrónico.

El siguiente paso es revisar las conexiones de sus perfiles de redes sociales y sus cuentas de creador de contenido. Cierre las sesiones que no reconozca, elimine las aplicaciones vinculadas y active la autenticación multifactor. No actúe a partir de mensajes relacionados con suscripciones o pagos sin verificarlos a través del canal oficial. Si su dirección física pudo haberse incluido en los registros de suscripciones de pago, tenga precaución ante mensajes falsos de facturas, entregas o verificaciones de cuentas.