Presunta exposición de datos de Collection #1

Los dos principales tipos de datos verificados en Collection #1 son direcciones de correo electrónico y contraseñas. La dirección de correo electrónico indica qué identidad utilizará el atacante para iniciar un intento de acceso; la contraseña aumenta directamente el riesgo de que alguien tome el control de una cuenta si se ha utilizado la misma contraseña, o una similar, en otros servicios. No se ha verificado la presencia de campos de tarjetas de pago, documentos oficiales de identidad, información de salud, mensajes privados o direcciones físicas en la recopilación. Esta limitación es importante para comunicar el riesgo real al usuario sin generar alarma innecesaria.

Si las contraseñas circulan en texto sin formato o en un formato que permita utilizarlas, disminuyen las barreras técnicas para el atacante. Incluso las contraseñas antiguas que ya no se utilizan suponen un riesgo, porque muchas personas siguen usando su contraseña anterior con pequeños cambios. Los pares de direcciones de correo electrónico y contraseñas pueden utilizarse en intentos automatizados de inicio de sesión, comprobaciones de creación de cuentas, procesos de restablecimiento de contraseñas y mensajes de suplantación de identidad dirigidos. El riesgo es especialmente alto para quienes repiten la misma contraseña durante años.

Se considera que la fecha del incidente es el 7 de enero de 2019. El registro se añadió a listas fiables de comprobación de filtraciones el 16 de enero de 2019 y, poco después, ese mismo día, se modificaron sus metadatos. El número de cuentas afectadas debe mantenerse en 772 904 991 direcciones de correo electrónico únicas. Los recuentos superiores de filas sin procesar no deben interpretarse como el número de usuarios, debido a las combinaciones repetidas, las filas con errores y los distintos formatos de archivo.

Collection #1 está clasificada como una recopilación no verificada. Esta clasificación no significa que el conjunto de datos no contenga información real de usuarios; significa que se le asigna un nivel de confianza limitado porque no es posible verificar individualmente y con certeza todas las fuentes. El registro no debe vincularse a un único dominio ni presentarse como una vulneración actual de los sistemas de una empresa concreta. La información principal que debe comunicarse al usuario es si su dirección de correo electrónico aparece en una gran recopilación que contiene combinaciones de credenciales para ataques de reutilización automatizada de credenciales.

El grupo de mayor riesgo está formado por personas que utilizan la misma dirección de correo electrónico y contraseña en varios servicios. Las contraseñas utilizadas en antiguas cuentas de juegos, foros, compras, redes sociales y servicios ajenos al trabajo pueden haberse reutilizado posteriormente en cuentas críticas. Aunque el usuario no recuerde su contraseña anterior, los atacantes pueden probar variantes que sigan un patrón similar.

Los usuarios de empresas también pueden verse afectados. Los empleados que se registran en sitios personales con su correo electrónico de trabajo pueden poner en riesgo su cuenta corporativa si reutilizan contraseñas antiguas en los sistemas de trabajo. Las direcciones de quienes trabajan en administración, finanzas, recursos humanos y equipos de soporte son especialmente valiosas, ya que, además de lograr un inicio de sesión, los atacantes también pueden intentar recurrir a la ingeniería social mediante facturas falsas, archivos compartidos, supuestas alertas de seguridad e imitaciones de comunicaciones internas.

Si su consulta arroja una coincidencia, primero debe revisar su cuenta de correo electrónico y todas las cuentas importantes en las que podría haber utilizado el mismo patrón de contraseña. No debe mantener la misma contraseña, ni una similar, en ningún servicio, y debe asignar una contraseña única y segura a cada cuenta. Utilizar un gestor de contraseñas permite realizar este paso de forma más fiable. Como la cuenta de correo electrónico es el punto central para recuperar otras cuentas, debe dar prioridad a la activación de la autenticación de dos factores en ella.

Debe revisar las sesiones antiguas, los dispositivos que no reconozca, los mensajes inesperados de restablecimiento de contraseña y las alertas de seguridad. Es posible que no sepa de qué servicio procede la contraseña incluida en la recopilación; por ello, no basta con cambiarla en un solo sitio. Debe utilizar contraseñas únicas y segundos factores de autenticación sólidos en ámbitos críticos, como la banca, el correo electrónico, el almacenamiento en la nube, las redes sociales, las compras y las cuentas de trabajo.

Las recopilaciones para ataques de reutilización automatizada de credenciales se vuelven a empaquetar durante años, circulan de nuevo con distintos nombres y se combinan con listas nuevas. Por ello, cambiar la contraseña una sola vez no basta para protegerse a largo plazo. Los usuarios deben abandonar por completo sus antiguos patrones de contraseña, utilizar contraseñas distintas para cada servicio y dar preferencia a la verificación mediante aplicaciones o a las llaves de seguridad para las cuentas importantes.

Las organizaciones deben tratar la aparición de contraseñas de empleados en listas de filtraciones como una señal de riesgo independiente. Las políticas que impiden reutilizar contraseñas, la autenticación multifactor obligatoria, las alertas de intentos de inicio de sesión sospechosos y las comprobaciones de sesiones desde ubicaciones geográficas de riesgo reducen el impacto de estas recopilaciones. Debe informarse a los empleados sobre cómo se utilizan indebidamente los pares de direcciones de correo electrónico y contraseñas, y garantizar que los antiguos hábitos de uso de cuentas personales no se trasladen a las cuentas de trabajo.

Si el resultado de la consulta es positivo, significa que la dirección de correo electrónico está incluida en la base de datos de Collection #1. Este resultado no significa que todas las contraseñas sigan vigentes ni que una cuenta de una empresa concreta haya sido comprometida en ese momento; sin embargo, exige una revisión exhaustiva para detectar la reutilización de contraseñas. Debe comprobar que utiliza una contraseña única y revisar el estado de la verificación en dos pasos en todas las cuentas importantes en las que utilice esa misma dirección de correo electrónico.

Si el resultado es negativo, significa que no se encontró ninguna coincidencia en esta recopilación; sin embargo, la misma dirección puede aparecer en otras filtraciones o en listas posteriores para ataques de reutilización automatizada de credenciales. Debe mantener la supervisión periódica, el uso de contraseñas únicas, una protección sólida de su cuenta de correo electrónico y la precaución ante mensajes sospechosos. Las grandes recopilaciones como Collection #1 deben considerarse una advertencia permanente de que nunca deben reutilizarse contraseñas antiguas.