Filtración de datos de Cutout.Pro

Los tipos de datos confirmados son direcciones de correo electrónico, direcciones IP, nombres y contraseñas. Las contraseñas no se almacenaban en texto sin formato, sino como hashes MD5 con sal. La sal hace que contraseñas idénticas generen hashes distintos y ofrece protección frente a las tablas arcoíris precalculadas, pero MD5 es un algoritmo rápido y débil para el almacenamiento moderno de contraseñas. Por ello, las contraseñas cortas, comunes o basadas en palabras del diccionario siguen siendo vulnerables a intentos de averiguarlas sin conexión. La combinación de una dirección de correo electrónico y un nombre puede facilitar el phishing dirigido, mientras que una dirección IP puede revelar información aproximada sobre la red o la región. Los números de teléfono, las direcciones físicas, las tarjetas de pago y los archivos de foto o vídeo procesados por los usuarios no figuran entre los tipos de datos confirmados. La cifra de 19 972 829 que aparece en esta página corresponde al número de referencia verificado de cuentas y no debe sumarse a la descripción redondeada de «20 millones».

La fecha de referencia de la filtración es el 26 de febrero de 2024. La primera alerta pública de que se habían publicado aproximadamente 20 millones de registros de usuarios en un foro de ciberdelincuencia apareció el 27 de febrero; los informes independientes del 29 de febrero y el 4 de marzo dieron a conocer el incidente a un público más amplio. La entrada verificada se añadió al catálogo de filtraciones el 28 de febrero. Los registros se atribuyeron directamente a cuentas de Cutout.Pro y se validaron contrastándolos con los cuatro campos de referencia. Los hashes MD5 con sal no son contraseñas que puedan leerse directamente, pero la rapidez de cálculo de MD5 permite a un atacante probar grandes cantidades de posibles contraseñas. Las fuentes fiables no determinaron la vía de acceso inicial, la vulnerabilidad utilizada ni cuánto tiempo pudo mantener el acceso un intruso, por lo que aquí no se infieren esos detalles. Se trata de una filtración verificada de una base de datos atribuida a la infraestructura de Cutout.Pro, no de una recopilación de contraseñas procedentes de sitios web sin relación entre sí ni de datos obtenidos mediante malware que roba información.

Las personas con mayor riesgo son quienes habían creado una cuenta de Cutout.Pro a más tardar en febrero de 2024. Quienes reutilizaron la misma contraseña en el correo electrónico, las redes sociales, el almacenamiento en la nube, una herramienta de diseño u otro servicio de inteligencia artificial (AI) corren un mayor riesgo de que alguien tome el control de sus cuentas. Un hash MD5 con sal no es la contraseña en sí, pero, si una contraseña débil se averigua sin conexión, el valor recuperado puede probarse en otros servicios. Las agencias de diseño, los equipos de comercio electrónico, los fotógrafos y los desarrolladores que utilizan las herramientas de acceso programático del servicio pueden recibir comunicaciones fraudulentas dirigidas a ellos, como facturas, alertas de cuota, renovaciones de suscripciones o mensajes para compartir archivos, porque sus direcciones de correo electrónico profesionales aportan información contextual útil. Una dirección IP puede indicar una región de conexión aproximada o el proveedor de una red corporativa, pero no permite determinar una ubicación precisa. Este registro no confirma que los archivos de imágenes procesados quedaran expuestos, por lo que no debe interpretarse como prueba de que se filtraron fotografías privadas de los usuarios.

Su primera prioridad es sustituir la contraseña que utilizaba en Cutout.Pro durante el periodo de la filtración por una contraseña segura y única en todos los lugares donde aún la utilice. Proteja primero la cuenta de correo electrónico asociada, porque puede recibir allí enlaces para restablecer contraseñas y notificaciones de seguridad. Active la autenticación multifactor en las cuentas de correo electrónico, almacenamiento en la nube, pagos y diseño, y dé preferencia a una aplicación de autenticación, una clave de acceso o una llave de seguridad física cuando estén disponibles. Revise las sesiones activas de Cutout.Pro, las aplicaciones conectadas y las claves de acceso programático; cierre las sesiones que no reconozca y sustituya las claves sospechosas por otras nuevas. Para iniciar un cambio de contraseña, escriba cutout.pro en el navegador en lugar de seguir un enlace de un mensaje. Compruebe el dominio del remitente en los mensajes diseñados para generar urgencia, como «su archivo se ha procesado», «sus créditos han caducado» o «su suscripción se ha suspendido».

Crear una contraseña aleatoria y única para cada servicio evita que el descifrado del hash de una contraseña afecte a otras cuentas. Guarde las credenciales en un gestor de contraseñas de confianza y proteja su cuenta principal con una autenticación multifactor sólida. Utilice claves de acceso cuando estén disponibles para reducir la dependencia de las contraseñas. En las cuentas de equipo, asigne cuentas individuales a los usuarios y permisos basados en roles en lugar de compartir un único acceso, y retire de inmediato el acceso al personal que deje la organización. Nunca incluya claves de acceso programático en el código fuente, los repositorios públicos ni los mensajes de soporte; sustitúyalas periódicamente por otras nuevas y conceda solo los permisos necesarios. Evalúe la sensibilidad de los archivos de sus clientes antes de subirlos a un servicio de procesamiento de imágenes, elimine los documentos de identidad o metadatos innecesarios y revise las condiciones contractuales de conservación de datos. Las notificaciones continuas de filtraciones pueden ayudarle a responder con rapidez si la misma dirección de correo electrónico aparece en otro incidente.

Para saber si aparece en el registro de Cutout.Pro, compruebe todas las direcciones de correo electrónico actuales y anteriores que pudiera haber utilizado hasta 2024 mediante un servicio de búsqueda de filtraciones de confianza. Una coincidencia significa que la dirección aparece en un conjunto de datos verificado que puede incluir un nombre, una dirección IP y un hash MD5 con sal de la contraseña. No demuestra que la contraseña se haya descifrado, pero es una advertencia suficiente para dejar de considerarla segura. Incluya las antiguas direcciones corporativas, porque una cuenta de correo cerrada puede seguir figurando en un registro histórico mientras la misma contraseña aún está activa en otros servicios. Registre el resultado sin redistribuir datos personales y dé prioridad a los cambios de contraseña, empezando por las cuentas de correo electrónico, financieras y de servicios en la nube. No busque la dirección de otra persona sin su permiso; utilice la información únicamente para proteger sus propias cuentas o los activos de la organización que esté autorizado a administrar.