ClixSense Filtración de datos

Los campos de datos de la filtración de ClixSense pueden afectar tanto a la seguridad de la cuenta del usuario como a su identidad fuera de internet. Cuando una dirección de correo electrónico, un nombre de usuario y una contraseña en texto plano aparecen juntos, un atacante puede intentar iniciar sesión directamente en otros servicios. Almacenar contraseñas en texto plano es la opción más arriesgada, ya que no hace falta recurrir a procesos de cálculo de hashes ni de adivinación para utilizarlas. Si el usuario ha utilizado la misma contraseña en su cuenta de correo electrónico, redes sociales, servicios de pago u otros sitios de encuestas, el riesgo se extiende más allá de la cuenta de ClixSense.

Campos como el nombre, la fecha de nacimiento, el género, la dirección física y la dirección IP aumentan el riesgo de ingeniería social. El saldo de la cuenta, el historial de pagos, el método de pago y la actividad en el sitio pueden aportar contexto sobre cómo obtiene ingresos el usuario en la plataforma. Esta información permite crear notificaciones de pago, reembolsos de saldo, confirmaciones de recompensas, formularios fiscales, pagos por encuestas o mensajes de actualización del perfil falsos. Cuando los usuarios confían en las plataformas de ingresos adicionales en línea y comparten información sobre su situación personal y financiera, pueden hacer que los mensajes de los atacantes resulten más convincentes.

El número de cuentas afectadas verificadas en este registro es de 2 424 784. Aunque se ha informado de que los atacantes mencionaron un conjunto de datos más amplio, este registro se mantiene según el alcance de cuentas verificado y reflejado públicamente. La fecha del incidente figura como el 4 de septiembre de 2016. Las categorías de datos se limitan al saldo de la cuenta, la fecha de nacimiento, la dirección de correo electrónico, el género, la dirección IP, el nombre, la contraseña, el historial de pagos, el método de pago, la dirección física, el nombre de usuario y la actividad en el sitio.

En este registro, el número de tarjeta de pago, el número de cuenta bancaria, el documento oficial de identidad, el número de seguridad social y los datos de salud no son categorías de datos verificadas. El campo del método de pago debe entenderse como información sobre las preferencias de pago del usuario o el tipo de pago dentro de la plataforma; no significa que el número de tarjeta o la cuenta bancaria estén incluidos en el alcance verificado. La actividad en el sitio se refiere al contexto de las tareas, los anuncios, las encuestas o los movimientos de la cuenta del usuario en la plataforma; no debe suponerse que este campo tiene el mismo nivel de detalle para todos los usuarios.

Los usuarios que corren mayor riesgo son quienes también utilizan la contraseña de su cuenta de ClixSense en otras cuentas. Como la contraseña está en texto plano, a un atacante le resulta muy fácil probar las mismas credenciales en otros sitios. Las cuentas de correo electrónico, los servicios de pago, las redes sociales, los sitios de compras y otras plataformas de encuestas o recompensas deben revisarse primero. Si la cuenta de correo electrónico queda comprometida, los enlaces para restablecer las contraseñas de otras cuentas también pueden caer en manos del atacante.

El segundo grupo de riesgo lo forman las personas que utilizan habitualmente plataformas de ingresos adicionales en línea y comparten información sobre sus métodos de pago en esos servicios. Los saldos de las cuentas y el historial de pagos pueden indicar que el usuario obtiene ingresos de la plataforma. Esta información puede utilizarse para crear solicitudes de pago, notificaciones fiscales, transferencias de recompensas o mensajes de recuperación de saldo falsos. Los usuarios cuyos datos incluyen una dirección física y una fecha de nacimiento pueden ser destinatarios de mensajes de phishing más personalizados. En el ámbito empresarial, reutilizar en cuentas de trabajo las contraseñas de cuentas personales de recompensas supone un grave riesgo de seguridad.

La contraseña utilizada en ClixSense ya no debe considerarse segura. Cambie las contraseñas de todas las cuentas en las que utilice esa misma contraseña o una similar. Utilice un gestor de contraseñas para generar una contraseña larga y única para cada servicio. No basta con añadir un número al final de la contraseña anterior, cambiar una letra o utilizar un patrón parecido. Dé prioridad a la protección de sus cuentas de correo electrónico, servicios de pago, redes sociales y otras plataformas de ingresos.

Active la autenticación multifactor en su cuenta de correo electrónico y revise las sesiones recientes, los dispositivos conectados, las direcciones de recuperación y las reglas de reenvío. Preste atención a los mensajes relacionados con pagos o encuestas. No atienda solicitudes de reembolso del saldo de la cuenta, actualización del método de pago, formularios fiscales, tarjetas de regalo o verificación del perfil sin verificarlas a través de los canales oficiales. Considere de alto riesgo los mensajes que le pidan su contraseña actual, un código de verificación, datos de tarjeta o información bancaria.

El incidente de ClixSense demuestra que las plataformas de recompensas y microtareas en línea no deben considerarse de bajo riesgo en lo que respecta a los datos personales. En estos servicios pueden reunirse campos como el nombre, la dirección, la fecha de nacimiento, el método de pago y el saldo de la cuenta. A largo plazo, considere utilizar una dirección de correo electrónico independiente para los servicios de encuestas y recompensas, eliminar la información innecesaria del perfil y cerrar las cuentas que no utilice. Comparta información sobre métodos de pago solo cuando sea necesario y revise periódicamente los registros de pagos antiguos.

Desde la perspectiva empresarial, almacenar contraseñas en texto plano es inaceptable. Las contraseñas deben protegerse con métodos de almacenamiento robustos, modernos y lentos; los permisos de acceso, los servidores antiguos y las conexiones a las bases de datos deben auditarse periódicamente. Campos como los saldos de los usuarios y el historial de pagos también deben tratarse dentro del marco de la seguridad de los datos personales. Los equipos de seguridad de las empresas deben tener en cuenta que los empleados podrían reutilizar en sus cuentas de trabajo las contraseñas de sus cuentas personales en plataformas de ingresos adicionales, y deben establecer como prácticas habituales la comprobación de contraseñas filtradas y la autenticación multifactor.

Una coincidencia en este registro indica que la dirección de correo electrónico correspondiente está entre las cuentas asociadas a la filtración de datos de ClixSense. Una coincidencia no significa que la información de tarjetas de pago o cuentas bancarias esté incluida en el alcance verificado de este registro; sin embargo, el riesgo es grave debido a campos como las contraseñas en texto plano, el saldo de la cuenta, el historial de pagos y el método de pago. Lo primero que debe hacer es asegurarse de no utilizar la misma contraseña en ninguna otra cuenta.

Una vez que haya cambiado las contraseñas, revise las sesiones de sus cuentas de correo electrónico y servicios de pago. Cierre las sesiones que no reconozca, active la autenticación multifactor y actualice las opciones de recuperación. No actúe ante mensajes relacionados con encuestas, recompensas, reembolsos de saldo o actualizaciones de pago a menos que los haya verificado a través de los canales oficiales. Aunque este incidente sea antiguo, las contraseñas en texto plano y la información relacionada con pagos todavía pueden utilizarse en ataques de phishing e intentos automatizados de inicio de sesión muchos años después.