Disqus Filtración de datos

La instantánea expuesta de la base de datos contenía direcciones de correo electrónico, nombres de usuario de Disqus, fechas de registro y fechas del último inicio de sesión en texto sin cifrar. El alcance confirmado es de 17 551 044 cuentas asociadas a direcciones de correo electrónico únicas. Aproximadamente un tercio de las cuentas incluía hashes de contraseñas SHA-1 con sal, en lugar de contraseñas en texto sin cifrar; por tanto, la categoría de datos “Contraseñas” se refiere a esos valores hash, no a credenciales legibles. Los usuarios que iniciaban sesión a través de un proveedor de autenticación mediante redes sociales tenían referencias a esas cuentas externas en lugar de una contraseña de Disqus. SHA-1 y el uso de sal no revelan una contraseña directamente, pero no pueden proteger por completo las contraseñas cortas o comunes frente a intentos de adivinarlas sin conexión. Combinar una dirección de correo electrónico, un nombre de usuario y fechas de actividad puede facilitar ataques de phishing dirigidos, spam, la vinculación con cuentas antiguas y ataques de reutilización de credenciales contra otros servicios. No se ha verificado la presencia de información de pago ni de tarjetas dentro del alcance de este incidente.

La instantánea expuesta procedía de la base de datos de usuarios de 2012, incluía información que se remontaba a 2007 y no contenía datos posteriores a julio de 2012. Por ello, este registro utiliza el 1 de julio de 2012 como fecha del incidente con precisión mensual; las pruebas públicas fiables no permiten determinar el día exacto del acceso ni el método técnico de entrada. Disqus tuvo conocimiento del incidente años después, cuando un investigador independiente informó sobre el conjunto de datos el 5 de octubre de 2017. La empresa obtuvo los datos y comenzó a validarlos ese mismo día; el 6 de octubre restableció las contraseñas de las cuentas cuyos hashes figuraban en el conjunto, contactó con los usuarios afectados y publicó su aviso. Disqus afirmó que había sustituido SHA-1 por bcrypt, un algoritmo de hash de contraseñas más robusto, a finales de 2012. En el momento de la divulgación no se habían identificado pruebas de inicios de sesión no autorizados relacionados con la filtración, pero la posibilidad de recuperar contraseñas sin conexión hacía necesario protegerse frente a la reutilización de contraseñas.

El grupo de mayor riesgo está formado por personas que se registraron directamente con una dirección de correo electrónico y una contraseña en 2012 o antes, y que reutilizaron la misma contraseña o una similar en otros servicios. Los hashes SHA-1 con sal presentes en ese subconjunto de aproximadamente un tercio de las cuentas son especialmente vulnerables cuando las contraseñas eran cortas o se basaban en palabras comunes. Si se recupera una contraseña, los atacantes pueden probarla en cuentas de correo electrónico, redes sociales, foros o compras. La instantánea no contenía las contraseñas de los proveedores externos de inicio de sesión mediante redes sociales, aunque sí podrían haberse expuesto una dirección de correo electrónico, un nombre de usuario y una referencia a la cuenta. Las fechas de registro y del último inicio de sesión pueden ayudar a un atacante a distinguir las cuentas activas de las abandonadas y a dar mayor credibilidad a un mensaje. Las personas que cambiaron la contraseña después y utilizaron credenciales únicas en todos los servicios corren menos riesgo de que alguien tome el control de sus cuentas, pero el phishing dirigido a una dirección de correo electrónico antigua puede seguir siendo eficaz.

Si la contraseña de Disqus que utilizaba en 2012 sigue en uso en otro servicio, sustituya cada copia reutilizada por una contraseña larga y única. Disqus restableció las contraseñas afectadas en 2017, pero esa medida no podía cambiar las copias utilizadas en otros sitios. Dé prioridad a su cuenta principal de correo electrónico, su gestor de contraseñas, sus redes sociales y los servicios en los que tenga un método de pago guardado. Active la autenticación multifactor en el correo electrónico y en otras cuentas esenciales; después, revise las sesiones activas, las direcciones de recuperación y los dispositivos reconocidos. No confíe en un mensaje solo porque mencione un comentario antiguo de Disqus, un nombre de usuario o una fecha de registro. En lugar de seguir enlaces incluidos en mensajes que afirmen ofrecer un restablecimiento de contraseña, una verificación de cuenta o la eliminación de comentarios, acceda por su cuenta a la dirección oficial del servicio. Nunca revele un código de autenticación de un solo uso, su contraseña actual ni la contraseña maestra de su gestor de contraseñas a través de un mensaje o una llamada.

Un gestor de contraseñas que genere una contraseña aleatoria y única para cada servicio evita que la recuperación de una contraseña a partir de un hash antiguo afecte a otras cuentas. Mantenga siempre activada la autenticación multifactor en los servicios esenciales y guarde los códigos de recuperación de forma segura y sin conexión. Cierre las cuentas de plataformas de comentarios, foros y redes sociales que no utilice, o reduzca al mínimo la información de perfil que conserve en ellas, ya que las cuentas olvidadas pueden facilitar la vinculación de identidades. No considere inofensiva una filtración de 2012 solo por su antigüedad; sigue teniendo valor si hoy se utiliza la misma contraseña o se mantiene la misma vinculación con una dirección de correo electrónico. Preste atención a las alertas inesperadas de inicio de sesión y restablecimiento de contraseña, revise periódicamente las reglas de reenvío del correo electrónico y evite reutilizar respuestas a preguntas de seguridad que sean fáciles de averiguar. Asuma que los nombres de usuario antiguos pueden vincularse con perfiles públicos y someta a comprobaciones adicionales los mensajes que se apoyen en esos datos históricos.

Utilice el campo de búsqueda seguro de esta página para comprobar todas las direcciones de correo electrónico, actuales y antiguas, que haya utilizado con Disqus. Una coincidencia significa que la dirección es una de las 17 551 044 direcciones de correo electrónico únicas presentes en la instantánea verificada de la base de datos; no demuestra que se haya recuperado la contraseña ni que alguien haya tomado el control de la cuenta. Si obtiene una coincidencia, identifique dónde reutilizó la contraseña que usaba en 2012 y sustituya todas las copias que sigan en uso. La ausencia de resultados no es una garantía absoluta, porque aún podría existir una dirección escrita de otra forma, un registro fuera de este conjunto de datos u otra filtración. Nunca introduzca una contraseña, una credencial de inicio de sesión mediante redes sociales ni un código de autenticación en una búsqueda de filtraciones. Volver a comprobar periódicamente las direcciones antiguas puede permitirle detectar pronto registros de filtraciones recién publicados y darle tiempo para reforzar la seguridad de sus cuentas antes de que se haga un uso indebido de los datos robados.