Filtración de datos de Epik

El conjunto de datos verificado contenía direcciones de correo electrónico, nombres, números de teléfono, direcciones físicas, información sobre compras y contraseñas almacenadas en distintos formatos. «Distintos formatos» no significa que todas las contraseñas tuvieran la misma protección ni que todas estuvieran en texto sin formato; no se ha verificado que se utilizara un mismo algoritmo en todos los registros. El archivo no se limitaba a los clientes de Epik. Como los sistemas de Epik conservaban registros WHOIS, también aparecía información de contacto de propietarios de dominios que nunca habían realizado transacciones directamente con la empresa. El recuento podía incluir variantes de direcciones de correo electrónico enmascaradas utilizadas para proteger la privacidad de los dominios, por lo que la presencia de una dirección en este incidente no demuestra que su titular fuera cliente de Epik. La combinación de una dirección de correo electrónico, un nombre, un número de teléfono, una dirección postal y el contexto de una compra puede facilitar el phishing dirigido, las llamadas falsas de soporte técnico y el uso indebido de los procesos de recuperación de cuentas.

La fecha de referencia del incidente es el 13 de septiembre de 2021. Un acceso no autorizado permitió extraer un amplio archivo perteneciente a Epik, empresa registradora de dominios y proveedora de alojamiento web; según se informó, el paquete publicado tenía un tamaño aproximado de 180 GB, y la empresa confirmó posteriormente una intrusión no autorizada en sus sistemas. El tamaño del archivo no equivale al número de personas afectadas: el recuento se basa en 15 003 961 direcciones de correo electrónico únicas. La presencia de datos de cuentas de clientes junto con registros WHOIS conservados explica por qué el alcance no puede limitarse a los clientes activos. Algunas entradas WHOIS podían contener datos históricos sobre la titularidad, lo que impide deducir directamente quién es el propietario actual de un dominio a partir de una coincidencia de correo electrónico. La vía de acceso inicial, el tiempo exacto de permanencia en los sistemas y el formato de protección utilizado para cada contraseña no se documentaron de forma concluyente para todas las cuentas, por lo que no deben hacerse suposiciones sobre esos detalles.

El grupo más directamente expuesto incluye a clientes, antiguos clientes, administradores de dominios y usuarios de alojamiento web que tenían una cuenta de Epik en septiembre de 2021 o antes. Un segundo grupo está formado por propietarios de dominios y contactos de organizaciones cuya información aparecía en los registros WHOIS conservados pese a no tener ninguna relación contractual con Epik. Las personas que utilizan servicios de privacidad o de registro mediante intermediarios también pueden aparecer a través de direcciones enmascaradas, direcciones de reenvío o registros históricos. Para los empleados que gestionan dominios empresariales, el riesgo va más allá de una cuenta personal: los delincuentes pueden combinar un nombre, un número de teléfono, una dirección y el contexto de una compra para crear solicitudes convincentes de transferencia de dominios, cambios de DNS o pago de facturas falsas. Por tanto, aparecer en el incidente no demuestra que se utilice Epik actualmente, pero sí puede hacer más creíbles los fraudes dirigidos.

Si tiene una cuenta de Epik, acceda directamente al sitio oficial y cambie su contraseña; después, sustituya esa misma contraseña o cualquier otra similar en todas las demás cuentas. La reutilización de contraseñas puede permitir que una filtración antigua facilite intentos automatizados de inicio de sesión en servicios de correo electrónico, almacenamiento en la nube, redes sociales o servicios financieros años después. Cree una contraseña larga y única para cada servicio, utilice un gestor de contraseñas y active la autenticación multifactor en las cuentas que la admitan. Los propietarios de dominios deben revisar el estado del bloqueo del registrador, la autorización de transferencia, los datos de recuperación, los servidores de nombres y los registros DNS. Inicie sesión por su cuenta antes de aprobar una solicitud inesperada de restablecimiento, transferencia de dominio o cambio de datos de contacto. La información sobre compras figura entre las categorías de datos expuestos documentadas, pero no se ha verificado la exposición de datos de tarjetas de pago; aun así, revise los cargos inesperados y las facturas de renovación fraudulentas. No siga enlaces incluidos en mensajes de suspensión y nunca revele un código de un solo uso.

Una protección duradera exige un inventario de cuentas y dominios, no solo un cambio de contraseña puntual. Adopte el uso de contraseñas únicas en todas las cuentas personales y de la organización, dé preferencia a la autenticación multifactor mediante aplicaciones o llaves de seguridad físicas y revise periódicamente los canales de recuperación. Para los dominios críticos, utilice el bloqueo a nivel del registro, la aprobación de cambios o flujos de trabajo con varios administradores cuando estén disponibles. Las alertas sobre cambios en DNS, servidores de nombres, datos de contacto del titular y renovaciones pueden ayudar a detectar pronto un intento de secuestro de dominio. La privacidad de WHOIS puede reducir la visibilidad pública, pero no permite recuperar los registros recopilados en el pasado, por lo que conviene considerar que las direcciones y los números de teléfono antiguos pueden resultar útiles a un estafador. Las organizaciones deben utilizar buzones asociados a funciones para administrar los dominios, restringir el acceso según las necesidades del puesto y retirarlo con prontitud cuando alguien deje la organización. La vigilancia continua de filtraciones y la revisión de los registros de cambios reducen la dependencia de una única medida de protección.

Cuando compruebe a través de LeakData si su dirección de correo electrónico está asociada al incidente de Epik, interprete el resultado en su contexto. Una coincidencia significa que la dirección aparece en el conjunto de datos verificado; no demuestra que la persona haya adquirido un servicio de Epik, siga siendo cliente o sea actualmente propietaria de un dominio asociado. Si obtiene una coincidencia, haga un inventario de las cuentas de Epik, de registradores, de alojamiento web y de administración creadas con esa dirección; después, compruebe que las contraseñas sean únicas y revise la autenticación multifactor, los datos de recuperación y los bloqueos de los dominios. La ausencia de coincidencias no es una garantía absoluta, ya que el conjunto de datos puede estar incompleto, puede haberse utilizado otra dirección o puede surgir más información. Mantenga las alertas de actividad de las cuentas y las comprobaciones periódicas. Ante mensajes relacionados con el incidente, examine el dominio del remitente y el enlace de destino en lugar de confiar en el nombre mostrado, y verifique las solicitudes sospechosas a través de un canal oficial de soporte al que haya accedido por su cuenta.