Filtración de datos de Ducks Unlimited

Los tipos de datos verificados son fechas de nacimiento, direcciones de correo electrónico, nombres, números de teléfono, direcciones físicas y hashes MD5 de contraseñas sin sal. Al combinar correo electrónico, nombre, teléfono y dirección, se obtiene un perfil bastante claro de la identidad del usuario. Si se añade la fecha de nacimiento, los mensajes falsos de verificación de membresía, actualización de donaciones, confirmación de dirección o recuperación de cuenta pueden resultar más convincentes. El campo de dirección física es especialmente importante porque el riesgo no se limita a la seguridad de las cuentas en línea; también puede facilitar fraudes dirigidos por correo postal y teléfono.

Un hash de contraseña no es una contraseña en texto sin formato, pero un hash MD5 sin sal no se considera una protección sólida. Los atacantes pueden adivinar con mayor facilidad las contraseñas débiles y probarlas en otras cuentas que utilicen el mismo correo electrónico. Los usuarios de organizaciones que mantienen relaciones con miembros o donantes pueden haber utilizado el mismo correo electrónico y la misma contraseña en otras asociaciones, sitios de compras, foros o cuentas de correo. Por ello, la filtración de datos de Ducks Unlimited debe evaluarse no solo por el riesgo de correo no deseado, sino también por la posible toma de control de cuentas, el fraude contra donantes y la privacidad de las direcciones.

La fecha verificada del incidente figura como el 29 de enero de 2021. Se informó de este conjunto de datos en el contexto de una base de datos de Ducks Unlimited que se compró y vendió por internet a mediados de 2021. El conjunto se incorporó a los registros de filtraciones verificadas el 16 de noviembre de 2021. El registro contiene 1 324 364 direcciones de correo electrónico únicas. Algunas descripciones pueden hablar de aproximadamente 1,3 millones de usuarios o miembros; esta página se basa en el número exacto de direcciones de correo electrónico únicas utilizado en la consulta.

El alcance debe entenderse a partir de dos listas principales: la lista de miembros y la lista de usuarios del sitio web. Esto no significa que todas las personas para las que se encuentre una coincidencia tengan los mismos campos de datos. Algunos registros pueden corresponder a información de miembros y otros a información de cuentas web. Los campos verificados son fecha de nacimiento, correo electrónico, nombre, teléfono, dirección física y hash de contraseña. Los datos de tarjetas de crédito, cuentas bancarias, importes de donaciones, documentos oficiales de identidad o información sanitaria sensible no son categorías de datos verificadas en este registro.

El grupo de mayor riesgo está formado por miembros de Ducks Unlimited, donantes y usuarios con una cuenta en el sitio web. Para las personas incluidas en la lista de miembros, campos como la dirección, el número de teléfono y la fecha de nacimiento pueden representar un riesgo más directo para la privacidad. Para los usuarios con una cuenta en el sitio web, destaca el riesgo de reutilización de contraseñas. Si utilizan el mismo correo electrónico y la misma contraseña en otras cuentas, los atacantes pueden intentar usar esa información en distintos servicios. La relación como donante o miembro puede aprovecharse para generar confianza en mensajes falsos de renovación de donaciones o verificación de membresía.

Las personas cuya dirección física y número de teléfono se hayan filtrado pueden ser blanco de ataques por correo postal, teléfono o correo electrónico. Un atacante puede preparar una campaña de donación falsa, una actualización de membresía, una notificación de recompensa o un mensaje de verificación de cuenta que aparente proceder de la organización. También puede utilizar la fecha de nacimiento en estos mensajes para generar más confianza. Aunque el registro sea antiguo, datos como la dirección y la fecha de nacimiento pueden mantenerse sin cambios durante mucho tiempo. Por ello, los usuarios deben proteger no solo sus contraseñas, sino también sus canales de comunicación.

Si la contraseña utilizada en la cuenta de Ducks Unlimited sigue vigente en otra cuenta, cámbiela de inmediato. Si ha utilizado la misma contraseña o una similar en cuentas de correo electrónico, donaciones, compras, redes sociales o foros, asigne una contraseña única a cada una de ellas. Active la autenticación de dos factores en su cuenta de correo principal. Si esa cuenta se ve comprometida, los enlaces para restablecer las contraseñas de otras cuentas también estarán en riesgo. Un gestor de contraseñas facilita la detección de contraseñas antiguas reutilizadas.

Revise con atención las solicitudes de donación, renovación de membresía, verificación de dirección o actualización de cuenta que reciba por teléfono, correo postal o correo electrónico. Aunque el mensaje incluya correctamente su nombre, dirección o fecha de nacimiento, eso por sí solo no demuestra que sea seguro. Si una solicitud le pide un pago, un número de tarjeta, información bancaria, un código de un solo uso o una contraseña, no continúe y verifique la operación a través de canales oficiales conocidos. En este incidente, aunque no se verificó el destinatario del pago, la información de contacto filtrada podría utilizarse más adelante para obtener datos de pago mediante engaños.

A largo plazo, utilice contraseñas diferentes y únicas para las cuentas de membresía y donaciones. Usar la misma dirección de correo electrónico en varias cuentas de donaciones, campañas y membresía aumenta el riesgo de fraude dirigido. Cierre las cuentas web que ya no utilice, revise sus preferencias de comunicación y reduzca al mínimo los campos innecesarios de sus perfiles. Revise periódicamente las cuentas que contengan su dirección física y su teléfono. Incluso las direcciones antiguas pueden utilizarse en ataques de ingeniería social como información de autenticación previa.

Desde la perspectiva de la organización, este incidente muestra que los datos de miembros y donaciones deben considerarse datos personales sensibles. Los hashes de contraseñas no deben almacenarse mediante métodos débiles como MD5 sin sal; deben emplearse métodos de hash modernos, con un alto coste computacional y con sal. Las listas de miembros y usuarios web no deben conservarse más tiempo del necesario, los permisos de acceso deben reducirse al mínimo, deben supervisarse las exportaciones de grandes volúmenes de datos y las notificaciones posteriores a una vulneración deben ser claras. La confianza de los donantes depende no solo de la protección de los datos de pago, sino también de la protección de las direcciones y la información de contacto.

Si encuentra una coincidencia en este registro, es posible que su dirección de correo electrónico se haya encontrado entre las 1 324 364 direcciones únicas asociadas con la filtración de datos de Ducks Unlimited. Una coincidencia no significa que se hayan filtrado los datos de su tarjeta de pago o su información bancaria. Los campos verificados son fecha de nacimiento, correo electrónico, nombre, teléfono, dirección física y hash MD5 de contraseña sin sal. El primer paso es comprobar en qué otras cuentas ha reutilizado la contraseña antigua de esta cuenta.

Si utiliza su contraseña antigua en otras cuentas, cámbiela. Active la verificación en dos pasos en su cuenta de correo electrónico y verifique los mensajes relacionados con membresías o donaciones directamente a través de canales oficiales. No se apresure a compartir datos de pago o verificación en mensajes que incluyan detalles de su dirección y teléfono. El enfoque adecuado ante la filtración de datos de Ducks Unlimited no consiste solo en verla como la filtración de una lista de miembros, sino en reconocer que los hashes de contraseñas débiles, combinados con datos de dirección y teléfono, pueden generar riesgos de fraude y para las cuentas a largo plazo.