CloudPets Filtración de datos

Las principales categorías de datos verificadas son las direcciones de correo electrónico, los nombres de los familiares y las contraseñas. Según lo publicado, el campo de contraseña estaba en formato de hash bcrypt; esto no significa que cada contraseña se almacenara en un formato directamente legible. Aun así, las contraseñas débiles o reutilizadas suponen un riesgo. Las fuentes también indican que quedaron expuestas referencias a fotos y grabaciones de voz asociadas a perfiles infantiles en el conjunto del sistema. Este contexto adicional hace que el incidente de CloudPets sea más sensible que una simple lista de cuentas.

Cuando se combinan los nombres de los niños, las relaciones familiares y el contenido de los mensajes de voz, el riesgo no se limita al phishing o a la toma de control de cuentas. Los nombres de los familiares pueden utilizarse para generar confianza en ataques de ingeniería social. Por su parte, las grabaciones de voz y las referencias a fotos de perfil deben considerarse datos que afectan directamente a la vida privada de los niños. Por ello, el incidente supone un riesgo elevado de falsos mensajes de soporte dirigidos a las familias, avisos de actualización de juguetes, solicitudes de recuperación de cuentas o intentos de comunicación manipuladora relacionados con el perfil del niño.

La cifra de 583 503 cuentas que aparece en esta ficha corresponde a los registros que se pueden consultar mediante una dirección de correo electrónico. El alcance total del sistema expuesto en este incidente es mayor y está asociado a más de 821 000 registros de cuentas. No deben confundirse estas dos cifras. Una coincidencia indica que la dirección de correo electrónico correspondiente figura en los datos de cuentas de CloudPets que se pueden consultar; las referencias adicionales a archivos presentes en el conjunto del sistema deben evaluarse por separado.

Los campos de datos verificados son las direcciones de correo electrónico, los nombres de los familiares, los hashes de contraseñas y las referencias a imágenes y mensajes de voz asociados al perfil del niño en el conjunto del sistema. Los datos de tarjetas de pago, cuentas bancarias, números de identificación oficial, direcciones físicas o datos de salud no se consideran categorías de datos verificadas. Aunque la empresa ha negado que las grabaciones de audio fueran robadas directamente, análisis independientes han demostrado que la arquitectura del sistema podía revelar las rutas de acceso a los archivos de las grabaciones y que los datos fueron objeto de exigencias de rescate.

Los usuarios con mayor riesgo son los padres que han creado una cuenta de CloudPets, las familias que han añadido un perfil infantil y las personas que han utilizado la misma contraseña en otras cuentas. Al combinar la dirección de correo electrónico con el nombre de un familiar, los atacantes pueden crear mensajes más convincentes. Por ejemplo, los mensajes que aparentan ser una actualización del juguete, una restauración de mensajes de voz, una verificación del perfil del niño o una alerta de seguridad de la cuenta de un progenitor pueden llevar al usuario a abrir un enlace o compartir su contraseña.

Debido a los nombres de los niños y al contexto de los mensajes de voz, el riesgo afecta a toda la familia. Aunque la cuenta del progenitor parezca segura, el nombre del niño o la información sobre las relaciones familiares pueden utilizarse de forma indebida. Los usuarios que emplean contraseñas débiles o reutilizan la misma contraseña en cuentas de correo electrónico, redes sociales, compras o juegos corren un mayor riesgo de que alguien tome el control de sus cuentas. Además, aunque una antigua cuenta de un juguete haya caído en el olvido, la combinación de correo electrónico y contraseña utilizada entonces puede seguir siendo válida en otros servicios.

Si encuentra una coincidencia en esta ficha, debe cambiar la contraseña que utilizó en CloudPets y en todas las cuentas donde haya usado la misma contraseña o una similar. Dé prioridad a la protección de su cuenta de correo electrónico, active la autenticación multifactor y revise las sesiones recientes. Si sigue utilizando la contraseña antigua en otras cuentas con pequeñas modificaciones, debe dejar de usar todas las variantes de esa contraseña. Un gestor de contraseñas facilita tanto la creación de contraseñas únicas como el seguimiento de las antiguas.

Las familias deben tener precaución ante mensajes inesperados relacionados con el nombre de un niño, cuentas de juguetes, mensajes de voz o fotos de perfil. No abra directamente enlaces que afirmen permitir la recuperación de una cuenta de CloudPets, la descarga de grabaciones de voz, la eliminación de un perfil infantil, la renovación de la conexión de un juguete o una verificación de seguridad. Si necesita realizar alguna acción, introduzca manualmente el nombre de dominio conocido del servicio o verifique la solicitud a través de un canal de confianza. No comparta información con nadie que solicite el nombre, la foto, una grabación de voz o los datos de la cuenta de un niño.

El incidente de CloudPets muestra hasta qué punto los datos recopilados por los juguetes conectados pueden ser sensibles para la privacidad familiar. Las familias deben compartir la menor cantidad posible de información en juguetes conectados a internet, aplicaciones infantiles y cuentas de dispositivos inteligentes. El nombre real, la fecha de nacimiento, la foto, las grabaciones de voz y las relaciones familiares de un niño solo deben utilizarse cuando sea necesario y se comprendan los controles de seguridad. Las cuentas de juguetes y aplicaciones infantiles que ya no se utilicen deben cerrarse, o debe reducirse la información de perfil que contienen.

A largo plazo, los padres deben tener en cuenta cuestiones como el almacenamiento de datos, los permisos de conexión, la seguridad de las cuentas y el soporte del fabricante al decidir la compra de dispositivos dirigidos a niños. Si el dispositivo utiliza un micrófono, una cámara, Bluetooth o una conexión a internet, deben comprobar dónde se almacenan los datos recopilados y cómo pueden eliminarse. Una vez expuestos, los datos de un niño no pueden cambiarse fácilmente como una contraseña; por eso, la protección no debe limitarse a reaccionar tras un incidente, sino que también debe incluir la elección del dispositivo y una estrategia de minimización de datos.

Una coincidencia en esta ficha indica que la dirección de correo electrónico correspondiente figura entre las cuentas que se pueden consultar en el contexto de la filtración de datos de CloudPets. Esa coincidencia exige tomar medidas para proteger el correo electrónico, el nombre del familiar y la contraseña; las referencias adicionales a archivos presentes en el conjunto del sistema requieren una evaluación de alcance por separado. Dado que el incidente está relacionado con datos de niños y familias, la evaluación del riesgo debe abarcar no solo al titular de la cuenta, sino también la privacidad de los niños del hogar.

En primer lugar, utilice contraseñas únicas, refuerce la seguridad de su cuenta de correo electrónico y considere cerrar las cuentas antiguas de juguetes o aplicaciones infantiles. No dé por válidos los mensajes relacionados con el nombre de un niño, una grabación de voz, una cuenta de un juguete o una foto de perfil sin verificarlos a través de otro canal. Aunque el incidente sea antiguo, los datos sobre las relaciones familiares y el perfil de un niño pueden suponer un riesgo de ingeniería social a largo plazo. Por tanto, una coincidencia debe dar lugar a medidas de seguridad y privacidad de alta prioridad.