Filtración de datos de Edmodo de 2017

Los tipos de datos verificados son direcciones de correo electrónico, contraseñas y nombres de usuario. El campo de contraseña debe evaluarse como un hash bcrypt; aunque esto supone un riesgo más limitado que la filtración de contraseñas en texto plano, no elimina el peligro. Los atacantes pueden probar contraseñas débiles, contraseñas reutilizadas y variantes de contraseñas antiguas. Disponer del nombre de usuario y la dirección de correo electrónico juntos puede hacer más convincentes los mensajes de phishing que simulan notificaciones escolares, alertas de cuenta o solicitudes de restablecimiento de contraseña.

En el contexto de una plataforma educativa, el riesgo se extiende a un público más amplio. Dado que estudiantes, docentes y padres se comunican a través del mismo servicio, los atacantes pueden intentar engañar a los usuarios con mensajes relacionados con el nombre de la institución, la clase, las tareas, las clases en línea o la actualización de la cuenta. En este incidente, los datos de tarjetas de pago, los datos de identificación oficial, los datos de salud y el contenido de mensajes privados no deben considerarse tipos de datos verificados. La evaluación del riesgo debe centrarse en los tres elementos: correo electrónico, nombre de usuario y hash de contraseña.

Se acepta el 11 de mayo de 2017 como fecha del incidente y se considera el 1 de junio de 2017 como fecha de incorporación verificada. El alcance incluye 43 423 561 direcciones de correo electrónico únicas y aproximadamente 77 millones de filas en total. Esta diferencia puede deberse a varios registros pertenecientes al mismo usuario, cuentas sin dirección de correo electrónico o duplicados en el conjunto de datos. Por tanto, el impacto real que se presenta al usuario debe evaluarse a partir del número de cuentas únicas.

Se ha verificado que el dominio de Edmodo es edmodo.com. El país de la empresa figura como Estados Unidos y el sector, como tecnología educativa. El incidente está marcado como una filtración confirmada y el indicador de datos sensibles está desactivado, porque los tipos de datos verificados se limitan a credenciales de cuenta, en lugar de contenido privado relacionado con menores o con la educación. No obstante, debido al contexto educativo, el phishing, la reutilización de contraseñas y los ataques dirigidos a la comunidad escolar constituyen riesgos importantes.

El grupo de mayor riesgo está formado por estudiantes, docentes, padres y personal escolar que utilizan en otros servicios la misma contraseña que en su cuenta de Edmodo. Si se utiliza la misma contraseña en cuentas de correo electrónico, sistemas de información escolar, servicios de archivos en la nube o cuentas de redes sociales, aumenta el riesgo de que alguien tome el control de esas cuentas. Que una filtración sea antigua no garantiza automáticamente la seguridad; si el usuario ha seguido utilizando la misma contraseña con pequeñas modificaciones a lo largo de los años, el riesgo sigue vigente.

Para las organizaciones, el riesgo es que los dominios de correo electrónico de los centros escolares y los nombres de usuario se conviertan en objetivos de campañas de phishing. Si las cuentas de docentes o administradores se ven comprometidas, pueden elaborarse engaños más convincentes dirigidos a estudiantes y padres. En las cuentas de padres y estudiantes, pueden resultar eficaces los mensajes que simulan notificaciones de tareas, anuncios de clase o enlaces para restablecer contraseñas. Por ello, las organizaciones no deben centrarse solo en los cambios individuales de contraseña, sino también en la concienciación colectiva y los controles de seguridad del correo electrónico.

El primer paso es comprobar si se reutilizan contraseñas en cuentas que emplean la misma dirección de correo electrónico o el mismo nombre de usuario que en Edmodo. Si se utiliza la misma contraseña o una similar en otras cuentas, debe optarse por una contraseña única, larga y aleatoria para cada servicio. El uso de un gestor de contraseñas hace que este proceso sea más fiable. Debe darse prioridad a la revisión de las cuentas de correo electrónico, las cuentas escolares, el almacenamiento en la nube, las redes sociales y las cuentas financieras.

Debe activarse la autenticación multifactor en todas las cuentas que la admitan. La cuenta de correo electrónico requiere especial protección, porque suele recibir los enlaces para restablecer contraseñas. Los usuarios deben tener precaución ante notificaciones escolares inesperadas, archivos adjuntos sospechosos, páginas de inicio de sesión falsas y mensajes que exijan renovar la contraseña con urgencia. En el ámbito institucional, deben reforzarse las protecciones contra la suplantación de dominios, los filtros de correo electrónico, las comprobaciones de seguridad de las conexiones y los hábitos de verificación en los canales de comunicación entre docentes y padres.

A largo plazo, debe evitarse por completo la reutilización de contraseñas. Utilizar una contraseña única para cada cuenta, activar la autenticación multifactor cuando sea posible y revisar periódicamente las sesiones deben ser normas básicas de seguridad. Las instituciones educativas deben concienciar a estudiantes y docentes sobre la seguridad de las cuentas y explicar claramente que las filtraciones de datos antiguas pueden seguir utilizándose en intentos de tomar el control de cuentas años después.

Una estrategia permanente para los centros escolares y los proveedores de servicios educativos consiste en no limitar las alertas de seguridad de las cuentas al día de la filtración. Los datos de filtraciones antiguas pueden circular durante mucho tiempo en las listas de contraseñas de los atacantes. Por ello, deben aplicarse de forma conjunta políticas de restablecimiento de contraseñas, controles para bloquear contraseñas que coincidan con las de los datos filtrados, alertas de inicios de sesión inusuales y formación para los usuarios. El incidente de Edmodo es un claro ejemplo de la importancia de la seguridad de las credenciales en el ecosistema educativo.

Si un usuario ve un resultado de Edmodo en LeakData, primero debe intentar recordar la antigua contraseña de esa cuenta y hacer una lista de los otros servicios en los que podría haberla utilizado. Aunque ya no use esa contraseña, debe cambiar las variantes similares que encuentre en otras cuentas. Tanto si se trata de una cuenta de estudiante como de docente o de padre, debe revisar primero la cuenta de correo electrónico y los servicios vinculados al centro escolar.

La medida más adecuada ante este incidente no es limitarse a cambiar la contraseña de Edmodo, sino revisar todas las cuentas críticas vinculadas a la misma dirección de correo electrónico. El usuario debe comprobar las sesiones activas, cerrar las que no reconozca, activar la autenticación multifactor y extremar la precaución ante mensajes sospechosos de temática escolar. Así se puede controlar mejor el impacto de una antigua filtración de una plataforma educativa sobre la seguridad actual de las cuentas.