Ataques a vBulletin de CrimeAgency
Los ataques a vBulletin de CrimeAgency no constituyen una filtración de un único sitio, sino un conjunto de filtraciones de foros que reúne datos de cuentas extraídos de varios foros vBulletin sin los parches de seguridad correspondientes.
Tipos de datos expuestos
3- Direcciones de correo electrónico
- Contraseñas
- Nombres de usuario
Acerca de esta brecha de datos
El registro asociado a los ataques que tuvieron lugar en enero de 2016 afectó a aproximadamente 942 mil direcciones de correo electrónico únicas e incluía nombres de usuario y hashes MD5 de contraseñas, en su mayoría con sal.
Este registro no debe describirse como una marca empresarial, sino como una serie de incidentes de seguridad en el software de unos 140 foros. El riesgo para el usuario es que las combinaciones de correo electrónico, nombre de usuario y contraseña, cuyo foro de origen no siempre está claro, podrían probarse en otras cuentas.
Tipos de datos filtrados y riesgos
Al describir el registro de ataques a vBulletin de CrimeAgency, las categorías de datos que deben tenerse en cuenta son las direcciones de correo electrónico, los datos de contraseñas y los nombres de usuario. Las direcciones de correo electrónico pueden utilizarse para ataques de phishing dirigidos, maniobras fraudulentas de restablecimiento de contraseñas y vinculación de cuentas entre distintos servicios. Los datos de contraseñas aumentan directamente el riesgo de que alguien tome el control de una cuenta, especialmente si se reutiliza la misma contraseña en otros servicios. Los nombres de usuario pueden ayudar a vincular alias entre distintas plataformas y a personalizar mensajes de ingeniería social.
Los nombres de usuario de las cuentas de foros pueden reutilizarse en distintas comunidades durante mucho tiempo. Si los hashes de contraseñas son débiles, se pueden recuperar las contraseñas a partir de ellos; si se utiliza la misma contraseña en otra cuenta de un foro, un juego, un servicio de correo electrónico o una red social, el riesgo no se limita a un solo foro.
Alcance verificado y límites
Este registro reúne varias filtraciones de foros conocidas como los ataques a vBulletin de CrimeAgency. Su alcance incluye direcciones de correo electrónico, datos de contraseñas y nombres de usuario. No debe darse por hecho que este registro incluye mensajes privados, información de pago, documentos oficiales de identidad o todo el contenido de un foro concreto.
Los tipos de datos que no figuran en este registro no deben describirse como si se hubieran filtrado. Campos como los datos completos de tarjetas de pago, documentos oficiales de identidad, mensajes privados, datos de salud, información bancaria o contenido de dispositivos solo deben incluirse en la evaluación del riesgo cuando estén expresamente presentes en el registro. El texto se basa en categorías de datos verificables y en los límites conocidos del incidente.
Grupos de usuarios en riesgo
Están en riesgo los usuarios que se registraron en foros basados en vBulletin antes de 2016, las personas que utilizan el mismo nombre de usuario en distintos foros, los titulares de cuentas que mantienen patrones antiguos para sus contraseñas y quienes publican su dirección de correo electrónico en los foros.
El riesgo es mayor para los usuarios que utilizan la misma dirección de correo electrónico en distintos servicios, reutilizan contraseñas antiguas, no separan sus cuentas laborales y personales o comparten información sobre su teléfono y dirección en varias plataformas. En la recopilación de datos o el registro de perfiles B2B, el riesgo también debe evaluarse teniendo en cuenta el efecto de combinar datos de perfil de distintas fuentes, y no solo una cuenta.
Medidas urgentes
Los usuarios deben cambiar las contraseñas de sus antiguas cuentas de foros y de todas las cuentas en las que utilicen la misma contraseña. Estas cuentas deben tener prioridad, especialmente si esa contraseña también se utilizaba en cuentas de correo electrónico, redes sociales y juegos.
Los usuarios para los que se haya detectado una coincidencia positiva deben cambiar las contraseñas de las cuentas en las que utilicen contraseñas iguales o similares, activar la autenticación de dos factores cuando sea posible y revisar sus sesiones recientes. En el caso de registros que no contengan contraseñas, pero sí datos de contacto o de perfil, conviene tener precaución ante llamadas, ofertas, devoluciones, propuestas de colaboración y mensajes de verificación inesperados.
Estrategias de seguridad a largo plazo
A largo plazo, adoptar el hábito de utilizar un gestor de contraseñas, contraseñas únicas y autenticación de dos factores, además de eliminar de las cuentas la información personal innecesaria, reduce el riesgo. Reutilizar la misma dirección de correo electrónico en distintas plataformas facilita la combinación de datos de diferentes filtraciones; puede considerarse el uso de una dirección de correo electrónico o un alias independiente para las cuentas críticas.
Aunque las cuentas de foros parecen de bajo riesgo, sus datos pueden acabar formando conjuntos que circulen durante años. Los usuarios deben utilizar una contraseña única para cada foro, cerrar las cuentas antiguas y evitar vincular innecesariamente sus seudónimos con identidades críticas.
Comprobación del registro y medidas para el usuario
La comprobación de LeakData indica si la dirección de correo electrónico consultada figura en este registro. Un resultado positivo no significa necesariamente que todos los campos de datos pertenezcan con certeza a ese usuario; aun así, es una advertencia suficiente para tomar medidas preventivas. Un resultado negativo solo indica que no hay ninguna coincidencia en este conjunto de datos y no descarta la posibilidad de aparecer en otras filtraciones.
Un resultado positivo indica que la dirección de correo electrónico se encontró en el conjunto de filtraciones de foros vBulletin de CrimeAgency. Por sí solo, este resultado puede no indicar de qué foro procede; aun así, deben tomarse medidas integrales para evitar los riesgos de reutilizar contraseñas.
Método de verificación y revisión editorial
LeakData compara el nombre del incidente, la fecha, la cantidad de registros afectados y los tipos de datos expuestos con fuentes accesibles. Los campos no verificados no se presentan como hechos, y los registros se actualizan cuando se dispone de nuevas pruebas.
Notificar errores u omisiones en la información
