DataCamp Filtración de datos

Los tipos de datos verificados en el registro de DataCamp son direcciones de correo electrónico, información de ubicación geográfica, direcciones IP, nombres y hashes de contraseñas. La combinación de la dirección de correo electrónico y el nombre permite identificar con mayor claridad al usuario en la plataforma. Los campos de ubicación geográfica y dirección IP pueden aportar indicios adicionales sobre el contexto en el que el usuario utilizaba su cuenta o la región desde la que se conectaba anteriormente. En plataformas educativas como DataCamp, estos datos pueden vincularse con el interés de una persona por la ciencia de datos, la programación, el análisis de datos o el desarrollo profesional. Este contexto puede propiciar el uso de temas como cuentas educativas, certificados, acceso a cursos u oportunidades profesionales en mensajes de phishing dirigidos.

El campo de contraseña debe tratarse como un hash bcrypt. Bcrypt es un método lento de cálculo de hashes que se considera uno de los más robustos entre los métodos modernos de almacenamiento de contraseñas; por ello, no debe afirmarse que los valores obtenidos sean contraseñas directamente legibles. No obstante, el riesgo no desaparece por completo. Las contraseñas débiles, cortas o de uso común pueden ser más vulnerables a los ataques de adivinación sin conexión. Si el usuario ha reutilizado la misma contraseña en el correo electrónico, cuentas de trabajo, repositorios de código, servicios en la nube u otras plataformas educativas, los atacantes pueden intentar usar la contraseña recuperada o adivinada en distintos servicios.

La cifra de 760 561 utilizada en este registro representa el alcance de los registros de cuentas verificados. No debe interpretarse siempre como el número de personas distintas: puede haber cuentas antiguas, registros duplicados o varias cuentas pertenecientes a una misma persona. Aunque la fecha de registro se mantiene como el 30 de enero de 2017, el descubrimiento del incidente y su notificación al usuario se produjeron después. Esta distinción es importante: el usuario debe evaluar tanto la información que utilizó en su cuenta de DataCamp durante 2017 como si usó la misma contraseña en otras cuentas durante el período 2018-2019. Explicar la fecha únicamente por el día del anuncio o únicamente por la fecha de registro sería incompleto.

Los límites en cuanto a los campos de datos son claros: los campos verificados son las direcciones de correo electrónico, la información de ubicación geográfica, las direcciones IP, los nombres y los hashes de contraseñas bcrypt. No deben añadirse a la lista de este registro campos no verificados relativos a otros datos de contacto, información financiera, documentos oficiales de identidad o contenido de cursos. La venta posterior del conjunto de datos y su aparición en distintas listas de filtraciones no bastan, por sí solas, para ampliar los campos incluidos. La descripción que se muestra al usuario debe explicar la seguridad de la cuenta y el riesgo de recibir mensajes dirigidos basándose en los campos verificados.

Las personas que corren mayor riesgo son aquellas que han creado una cuenta en DataCamp y han utilizado la misma contraseña en otros servicios. Entre los usuarios de DataCamp puede haber estudiantes, analistas de datos, desarrolladores, profesionales del ámbito académico, empleados en formación y profesionales que están cambiando de carrera. Para estos grupos, la vinculación entre una dirección de correo electrónico y una plataforma de aprendizaje puede hacer más convincentes los mensajes de ingeniería social relacionados con el empleo o la educación. Conviene prestar atención a mensajes como notificaciones falsas de certificados, solicitudes de verificación de cuentas, avisos de renovación de suscripciones a cursos o enlaces a oportunidades laborales.

El riesgo debe evaluarse por separado en el caso de los empleados que abren una cuenta de DataCamp con su dirección de correo electrónico corporativa. Una filtración de la cuenta de un empleado en la plataforma de formación no significa directamente que los sistemas de la organización se hayan visto comprometidos; sin embargo, el riesgo aumenta si se utiliza la misma contraseña en los sistemas de trabajo. La información de IP y ubicación geográfica también puede facilitar inferencias sobre la red corporativa, las modalidades de trabajo remoto o el uso por regiones. Por tanto, las organizaciones no deben olvidar que las cuentas de las plataformas de formación también deben estar sujetas a políticas sobre la reutilización de contraseñas y la autenticación multifactor.

El primer paso para los usuarios cuyos datos coincidan con el registro de DataCamp es cambiar la contraseña que puedan haber utilizado en su cuenta de DataCamp y en todas las cuentas donde hayan usado la misma contraseña o una similar. Deben revisarse primero las cuentas de correo electrónico, las cuentas de trabajo, los repositorios de código, los servicios en la nube, las plataformas de aprendizaje y las cuentas de redes sociales. Las nuevas contraseñas deben ser únicas y, si es posible, generarse con un gestor de contraseñas. Si la cuenta de DataCamp sigue en uso, debe cambiarse la contraseña, deben revisarse las sesiones abiertas y debe activarse la autenticación multifactor, si está disponible.

El segundo paso es mantener la cautela ante los mensajes de phishing relacionados con la educación y el empleo. Los usuarios no deben hacer clic directamente en enlaces sobre certificados de cursos, renovación de suscripciones, problemas de pago, suspensión de cuentas u oportunidades laborales. Si es necesario iniciar sesión, debe escribirse manualmente la dirección conocida del servicio en el navegador o acceder desde un marcador de confianza. Los usuarios corporativos deben informar al equipo de seguridad si la contraseña utilizada en la cuenta educativa está vinculada a cuentas de trabajo. Si se detecta un inicio de sesión sospechoso o una notificación sospechosa de restablecimiento de contraseña, deben cerrarse las sesiones de la cuenta correspondiente y revisarse las opciones de recuperación.

El incidente de DataCamp demuestra que las plataformas educativas y de desarrollo profesional también representan una importante superficie de exposición para las cuentas. Los usuarios deben utilizar contraseñas únicas no solo en las cuentas bancarias o de correo electrónico, sino también en las plataformas educativas, de cursos, de foros y para desarrolladores. Un gestor de contraseñas facilita identificar dónde se repite una misma contraseña. La autenticación multifactor, la revisión del historial de sesiones y la actualización de la información de recuperación en las cuentas críticas proporcionan una protección duradera. Las cuentas educativas que ya no se utilicen deben cerrarse o, al menos, deben actualizarse sus contraseñas antiguas y la información del perfil.

Desde la perspectiva de los operadores de plataformas, la lección es que almacenar de forma segura los hashes de contraseñas es necesario, pero no suficiente por sí solo. El uso de Bcrypt reduce el riesgo; sin embargo, cuando se produce una filtración, otros campos como el correo electrónico, el nombre, la IP y la ubicación también pueden hacer que los usuarios se conviertan en objetivos de ataques. El control de acceso, las restricciones de red, la supervisión de consultas sospechosas, los procesos de restablecimiento de contraseñas y las notificaciones a los usuarios deben abordarse de manera conjunta. Además, debe aplicarse la minimización de datos: los registros antiguos de IP y ubicación no deben conservarse durante largos períodos si no son necesarios.

Si el resultado de la verificación en esta página coincide con el registro de DataCamp, el usuario debe recordar primero qué dirección de correo electrónico utilizó para abrir su cuenta de DataCamp y qué contraseña usaba en ese momento. Si la misma contraseña seguía utilizándose en otras cuentas, debe eliminarse su reutilización en todas ellas. Debe revisarse el historial de inicio de sesión de la cuenta de correo electrónico, las cuentas de trabajo, los repositorios de código y los servicios en la nube, deben desconectarse los dispositivos desconocidos y debe activarse la autenticación multifactor. También deben examinarse los mensajes inesperados relacionados con la educación y el empleo, y no debe accederse directamente a sus enlaces.

Aunque la filtración de DataCamp ocurrió en el pasado, el riesgo de reutilizar contraseñas puede persistir hoy. El uso de hashes Bcrypt dificulta la tarea del atacante, pero las contraseñas débiles o reutilizadas siguen suponiendo un riesgo. Los usuarios deben tratar este registro no solo como una notificación pasada de la plataforma, sino también como una advertencia concreta para mejorar las prácticas de uso de contraseñas en las cuentas educativas y de trabajo. Los patrones de contraseña únicos, la autenticación multifactor y la cautela ante los mensajes sospechosos relacionados con la educación o el empleo reducen el riesgo derivado de este registro.