Dailymotion Filtración de datos

Los tipos de datos verificados en el conjunto de datos de Dailymotion son direcciones de correo electrónico, contraseñas y nombres de usuario. Las direcciones de correo electrónico pueden utilizarse para ataques de phishing dirigidos, vinculación de cuentas, envío de spam y notificaciones de seguridad falsas. Los nombres de usuario pueden ayudar a relacionar a una misma persona con otras cuentas de redes sociales, vídeo, juegos o foros. El campo de contraseña está en formato hash bcrypt y no debe interpretarse como una contraseña en texto sin cifrar.

Bcrypt ofrece una protección más sólida que los formatos hash rápidos; aun así, las contraseñas débiles o que ya hayan aparecido en otros conjuntos de datos pueden llegar a adivinarse con el tiempo. Los atacantes pueden probar la misma combinación de correo electrónico, nombre de usuario y contraseña en redes sociales, cuentas de correo electrónico, compras, juegos, vídeo, almacenamiento en la nube y cuentas de trabajo. Por tanto, el riesgo no se limita a la cuenta de Dailymotion.

La fecha de la filtración de Dailymotion debe considerarse el 20 de octubre de 2016; la fecha de incorporación del registro, el 7 de agosto de 2017; y el número de cuentas afectadas, 85 176 234. Los campos de datos verificados son direcciones de correo electrónico, nombres de usuario y contraseñas. El campo de contraseña está asociado al formato hash bcrypt; esta distinción es importante para comunicar con precisión el riesgo para los usuarios.

Al explicar el alcance, los números de teléfono, las direcciones físicas, las tarjetas de pago, los documentos de identidad, los mensajes privados, el historial de navegación, el historial de vídeos subidos y los nombres reales no deben presentarse en ningún caso como datos filtrados. El alcance respaldado por la información fiable se limita al riesgo asociado a los datos identificativos de las cuentas y a los hashes de contraseñas. La advertencia al usuario debe centrarse en la reutilización de contraseñas, el phishing por correo electrónico, la vinculación mediante nombres de usuario y la revisión de la seguridad de las cuentas.

El principal grupo en riesgo está formado por personas que tenían una cuenta de Dailymotion en 2016 o antes, o que utilizaban el mismo nombre de usuario y la misma dirección de correo electrónico en servicios de vídeo, redes sociales, juegos y entretenimiento. Los usuarios que reutilizan la misma contraseña en su cuenta de correo electrónico, redes sociales, sitios de compras, cuentas de juegos, almacenamiento en la nube o cuentas de trabajo corren un mayor riesgo.

Las personas que suben vídeos, gestionan canales o utilizan cuentas de marcas deben tener precaución con los mensajes sobre avisos falsos de derechos de autor, retirada de contenido, seguridad del canal, suscripciones, ingresos publicitarios o advertencias sobre cuentas antiguas. Los atacantes pueden elaborar mensajes que aparenten estar relacionados con un servicio que el usuario utiliza legítimamente, aunque solo conozcan su dirección de correo electrónico y su nombre de usuario. Si se reutilizan contraseñas, el riesgo se extiende a otras cuentas.

Los usuarios cuyas cuentas coincidan con registros de Dailymotion deben cambiar la contraseña de su cuenta de Dailymotion y de todas las cuentas en las que utilicen la misma contraseña. Deben dar prioridad a las cuentas de correo electrónico, redes sociales, compras, juegos, vídeo, almacenamiento en la nube y trabajo. Las nuevas contraseñas deben ser largas, únicas y elegirse entre las contraseñas almacenadas en un gestor de contraseñas.

Debe activarse la autenticación de dos factores en todas las cuentas principales que la admitan; deben revisarse las sesiones activas y los dispositivos conectados y deben cerrarse las sesiones desconocidas. Para proteger las cuentas de vídeo, antes de hacer clic en enlaces de mensajes sobre derechos de autor, canales, suscripciones, ingresos publicitarios o alertas de contraseña, se debe iniciar sesión a través del sitio web conocido del servicio o de su aplicación oficial. No deben compartirse códigos de un solo uso, contraseñas de cuentas ni enlaces de recuperación en ninguna conversación con el soporte técnico.

A largo plazo, una contraseña única para cada servicio, un gestor de contraseñas y la autenticación de dos factores son medidas básicas de protección. Las cuentas de medios y vídeo no suelen considerarse cuentas críticas; sin embargo, cuando se utiliza el mismo correo electrónico, nombre de usuario y patrón de contraseña, los datos de estas cuentas pueden emplearse en intentos de acceso a servicios más importantes.

Los usuarios deben revisar periódicamente sus antiguas cuentas de vídeo, juegos, foros y redes sociales, cerrar las que no sean necesarias y mantener actualizadas las direcciones de correo electrónico de recuperación. El uso de hashes de contraseñas Bcrypt dificulta la labor de los atacantes; sin embargo, la reutilización de contraseñas debilita esta protección. Cuando se exponen el correo electrónico y el nombre de usuario, los mensajes dirigidos pueden continuar durante mucho tiempo, por lo que los enlaces sospechosos deben verificarse a través de un canal independiente.

La comprobación de LeakData muestra si la dirección de correo electrónico consultada se encuentra en el conjunto de datos de Dailymotion. Un resultado positivo indica que la dirección de correo electrónico está presente en este conjunto de datos y que los campos de datos verificados deben incluirse en la evaluación del riesgo. Este resultado no demuestra que se hayan expuesto datos de tarjetas de pago, números de teléfono, historial de navegación ni el contenido de mensajes privados.

Un resultado negativo solo significa que no se encontró ninguna coincidencia en el conjunto de datos de Dailymotion; no descarta la posibilidad de aparecer en otras filtraciones de datos. Los usuarios que reciban un resultado positivo deben dejar de reutilizar contraseñas, activar la autenticación de dos factores, revisar las sesiones antiguas y verificar los mensajes de seguridad relacionados con cuentas de vídeo o medios a través de un canal independiente.