Filtración de datos de dvd-shop.ch

Los tipos de datos verificados son las direcciones de correo electrónico y las contraseñas en texto plano. La dirección de correo electrónico indica a qué usuario pertenece la cuenta. Una contraseña en texto plano permite que un atacante la pruebe directamente, sin necesidad de descifrarla. Por ello, la filtración de datos de dvd-shop.ch requiere un cambio de contraseña más urgente que algunos incidentes en los que se exponen hashes de contraseñas. Cuando un correo electrónico y una contraseña aparecen juntos, los atacantes pueden intentar usar esa misma combinación en distintos sitios web, cuentas de correo electrónico, plataformas de compras o cuentas de redes sociales.

Que los campos de datos sean limitados no significa que el riesgo sea bajo. Al contrario, una dirección de correo electrónico y una contraseña en texto plano pueden bastar para poner en riesgo una cadena de cuentas. Si se utiliza la misma contraseña en la cuenta de correo electrónico principal, un atacante podría intentar acceder a los enlaces de restablecimiento de contraseña de otros servicios. Si se utiliza esa misma contraseña en sitios de compras, puede existir un riesgo indirecto de acceso a otros datos, como una dirección o un método de pago guardados. Este registro es una advertencia importante, especialmente para detectar contraseñas antiguas y reutilizadas.

La fecha verificada del incidente figura como el 5 de diciembre de 2017, y el registro se añadió a las listas de filtraciones verificadas en torno al 10 de diciembre de 2017. En este registro, la cifra de cuentas afectadas se mantiene en 67 973 direcciones de correo electrónico únicas. Algunas fuentes pueden hablar de aproximadamente 68 mil o 70 mil clientes; estas expresiones son cifras redondeadas. La cifra principal utilizada en la consulta es 67 973. El incidente se limita a las cuentas de clientes de la tienda suiza de DVD en línea.

No debe ampliarse el alcance. En este incidente, los números de tarjetas de crédito, las cuentas bancarias, el historial de pedidos, la dirección física, el número de teléfono, el nombre y el número de identificación oficial no se clasifican como datos verificados. Aunque no siempre es posible demostrar de forma concluyente la ausencia de estos campos, los registros de filtraciones verificadas solo incluyen direcciones de correo electrónico y contraseñas. El riesgo que se comunica al usuario también debe basarse en estos dos campos. Dado que se encontraron contraseñas en texto plano, la medida principal es evitar que la misma contraseña siga utilizándose en otras cuentas.

El grupo de mayor riesgo está formado por los clientes que abrieron una cuenta de dvd-shop.ch antes de 2017 y utilizaron la misma contraseña en otras cuentas. Los sitios de compras antiguos suelen quedar en el olvido; incluso si el usuario cree haber cambiado su contraseña, esta puede seguir utilizándose en otras cuentas. Conviene revisar primero las cuentas de correo electrónico, las redes sociales, las plataformas de compras, los foros y los servicios vinculados a pagos. Las filtraciones de contraseñas en texto plano ponen en riesgo todas las cuentas en las que se reutilizan, porque el atacante no necesita adivinarlas.

Quienes todavía utilizan direcciones de correo electrónico antiguas también deben tener cuidado. Aunque la dirección que aparece en la filtración ya no esté activa, el usuario podría haberla conservado como correo de recuperación en otros servicios. Además, las contraseñas antiguas suelen reutilizarse con pequeños cambios; por ejemplo, los atacantes pueden adivinar variantes en las que se añade un año o un símbolo al final. Por tanto, la filtración de datos de dvd-shop.ch no se limita a una cuenta de una tienda que ya ha cerrado: también exige identificar dónde se ha reutilizado la contraseña.

Si la contraseña utilizada en dvd-shop.ch sigue vigente en alguna cuenta, cámbiela de inmediato. Si ha utilizado la misma contraseña o una similar en cuentas de correo electrónico, compras, redes sociales, foros, videojuegos o servicios financieros, asigne una contraseña única y segura a cada una. Proteja especialmente su cuenta de correo electrónico principal con autenticación de dos factores, ya que, si alguien obtiene acceso no autorizado a ella, también quedan en riesgo los procesos de restablecimiento de contraseña de otras cuentas. Un gestor de contraseñas facilita la creación de una contraseña única para cada cuenta.

Revise con atención las alertas de inicio de sesión sospechoso, los mensajes inesperados de restablecimiento de contraseña y los correos relacionados con cuentas antiguas de compras. En lugar de hacer clic en los enlaces, acceda directamente al servicio correspondiente. En este incidente, los datos de tarjetas de pago y el historial de pedidos no forman parte del alcance verificado; aun así, puede haber métodos de pago guardados en otros sitios de compras donde se utilice la misma contraseña. Por tanto, la prioridad es comprobar de forma sistemática si la contraseña antigua sigue vigente en otras cuentas.

A largo plazo, los usuarios deben incluir en su inventario de seguridad las cuentas de tiendas antiguas y aquellas que ya no utilizan. Aunque un servicio haya cerrado, las contraseñas utilizadas en el pasado pueden seguir vigentes en otros sitios. Cada cuenta debe tener una contraseña única, debe activarse la autenticación de dos factores en las cuentas críticas y deben eliminarse periódicamente las contraseñas reutilizadas. Las direcciones de correo electrónico antiguas y las cuentas olvidadas de tiendas deben revisarse a intervalos regulares. Dado que la cuenta de correo electrónico es el elemento central de toda la cadena de recuperación de cuentas, su protección debe ser la máxima prioridad.

Desde la perspectiva empresarial, el incidente de dvd-shop.ch muestra que incluso los pequeños sitios de comercio electrónico necesitan estándares sólidos para almacenar contraseñas. Guardarlas en texto plano perjudica directamente a los usuarios cuando se produce una filtración. En los sistemas modernos, las contraseñas deben protegerse con métodos robustos, unidireccionales y de alto coste computacional; deben eliminarse los registros de clientes innecesarios y auditarse periódicamente las cuentas antiguas y las copias de seguridad. Incluso una tienda pequeña puede generar un riesgo en cadena que afecte a otros servicios de sus usuarios debido a la reutilización de contraseñas.

Si encuentra una coincidencia en este registro, su dirección de correo electrónico podría haber estado entre las 67 973 direcciones únicas asociadas a la filtración de datos de dvd-shop.ch. Una coincidencia no significa que se hayan filtrado los datos de su tarjeta de pago o su dirección. Los campos verificados son la dirección de correo electrónico y la contraseña en texto plano. Por tanto, el primer paso es recordar la contraseña antigua que utilizó en dvd-shop.ch y comprobar si esa misma contraseña, o una similar, sigue utilizándose en otras cuentas.

Si utiliza una contraseña antigua en alguna cuenta, cámbiela. Use contraseñas únicas para su cuenta de correo electrónico principal, sus cuentas de compras y sus cuentas de redes sociales. Active la autenticación de dos factores, especialmente en las cuentas de correo electrónico y las vinculadas a pagos. La forma adecuada de abordar la filtración de datos de dvd-shop.ch no es considerarla una simple filtración de una tienda pequeña, sino comprobar rápidamente si la contraseña en texto plano se está reutilizando en otras cuentas y poner fin a esa reutilización.