DaFont Filtración de datos

Las categorías de datos verificadas son direcciones de correo electrónico, nombres de usuario y contraseñas. El campo de contraseña contiene un hash MD5 sin sal; esto no significa que la contraseña se haya publicado en un formato directamente legible. No obstante, como MD5 es un método de hash rápido y débil, los atacantes pueden adivinar fácilmente las contraseñas, especialmente si son sencillas o ya se han filtrado antes. La ausencia de sal también facilita vincular las cuentas que utilizan la misma contraseña, ya que presentan los mismos valores de hash.

Cuando una dirección de correo electrónico y un nombre de usuario aparecen juntos, puede ser posible vincular al usuario con otras plataformas creativas, foros, comunidades de diseño o perfiles de redes sociales. Una cuenta de DaFont por sí sola puede no parecer muy valiosa; sin embargo, el riesgo aumenta si se ha utilizado la misma contraseña en otros servicios. Los mensajes fraudulentos dirigidos a usuarios concretos sobre fuentes, licencias, enlaces de descarga o alertas de cuenta pueden resultar convincentes, especialmente para diseñadores, empleados de agencias o personas que utilizan la misma dirección de correo electrónico en herramientas de trabajo.

Este registro abarca 637 340 cuentas afectadas y sitúa el incidente el 16 de mayo de 2017. Aunque algunos informes técnicos mencionan cifras superiores de filas sin procesar en la base de datos, el valor utilizado en este registro representa el número verificado de cuentas afectadas. Las principales categorías de datos del incidente son la dirección de correo electrónico, el nombre de usuario y el hash MD5 de la contraseña sin sal. Posteriormente, el sitio declaró que había reforzado la estructura de almacenamiento de contraseñas y obligado a los usuarios a cambiarlas.

En este registro no se consideran categorías de datos verificadas la dirección IP, el número de teléfono, la dirección física, la tarjeta de pago, la cuenta bancaria, la fecha de nacimiento, el nombre real ni el contenido de mensajes privados. El incidente debe evaluarse como limitado a los datos de las cuentas de usuario de DaFont. Una coincidencia indica que la dirección de correo electrónico correspondiente está presente en el conjunto de datos de DaFont; no significa que los archivos de fuentes, la información de pago o el dispositivo del usuario se hayan visto afectados.

Quienes corren mayor riesgo son los usuarios que reutilizan la contraseña de su cuenta de DaFont en otras cuentas. Las contraseñas de cuentas antiguas y consideradas poco importantes suelen olvidarse; sin embargo, los atacantes pueden utilizarlas en intentos automatizados de inicio de sesión. Si coinciden el correo electrónico y el nombre de usuario, también se pueden vincular cuentas de distintas comunidades de diseño o redes sociales.

Los diseñadores, empleados de agencias, creadores de fuentes y usuarios activos en comunidades creativas corren un mayor riesgo de phishing dirigido. Las licencias de fuentes, los avisos de derechos de autor, los paquetes de descarga, los archivos de diseño o los mensajes de seguridad de la cuenta fraudulentos pueden parecer auténticos. Para los usuarios registrados con un correo electrónico de trabajo, este riesgo también puede extenderse a la seguridad corporativa. Por ello, deben tenerse en cuenta no solo la cuenta de DaFont, sino todas las cuentas que utilizan el mismo correo electrónico y contraseñas de la misma familia.

Si encuentra una coincidencia en este registro, cambie la contraseña de su cuenta de DaFont y las de todas las cuentas en las que utilice la misma contraseña o una similar. Las nuevas contraseñas deben ser únicas, largas y difíciles de adivinar. Dé prioridad a proteger su cuenta de correo electrónico, active la autenticación multifactor y revise las sesiones recientes. Tampoco debe considerar seguras las variantes de la contraseña antigua que solo incorporen pequeños cambios.

Preste atención a los mensajes inesperados sobre descargas de fuentes, incumplimientos de licencias, avisos de derechos de autor, paquetes gratuitos, archivos de diseño o verificaciones de cuenta. Compruebe el nombre de dominio y el remitente antes de abrir enlaces y archivos adjuntos. No confíe en un remitente solo porque conozca su nombre de usuario o sepa que tuvo una cuenta en DaFont. No comparta con terceros contraseñas, códigos de verificación, acceso a su correo electrónico ni información de recuperación de cuentas.

El incidente de DaFont demuestra que incluso las cuentas de comunidades creativas consideradas poco importantes son relevantes para la seguridad de las contraseñas. Utilice contraseñas únicas para cada foro, sitio de descargas, comunidad de diseño y herramienta de trabajo. Un gestor de contraseñas facilita identificar dónde se reutilizan contraseñas antiguas y generar contraseñas seguras. Cierre las cuentas que ya no utiliza o, como mínimo, actualícelas con una contraseña única.

A largo plazo, también resulta útil utilizar nombres de usuario y direcciones de correo electrónico distintos. Cuando se repite la misma combinación de nombre de usuario y correo electrónico en diferentes comunidades de diseño, los perfiles se pueden vincular fácilmente. Como los enlaces a archivos y fuentes utilizados en trabajos creativos pueden contener malware o conducir a intentos de phishing, descargue únicamente desde fuentes confiables y verifique por un canal independiente los mensajes inesperados sobre licencias o derechos de autor.

Una coincidencia en este registro indica que la dirección de correo electrónico correspondiente figura entre las cuentas identificadas en la brecha de datos de DaFont de mayo de 2017. Una coincidencia no indica que el incidente se haya producido en el año actual; en este registro, la fecha del incidente es el 16 de mayo de 2017. El alcance verificado se limita a la dirección de correo electrónico, el nombre de usuario y el hash MD5 de la contraseña sin sal.

En primer lugar, cambie las contraseñas de todas las cuentas en las que utilice la misma contraseña, proteja su cuenta de correo electrónico con autenticación de dos factores y revise las antiguas combinaciones de nombre de usuario y contraseña utilizadas en plataformas creativas. Aunque ya no utilice activamente su cuenta de DaFont, el riesgo persiste si utilizó la misma contraseña en otros servicios. El formato de hash MD5 sin sal, combinado con contraseñas débiles, puede suponer un riesgo a largo plazo para la seguridad de las cuentas.