Filtración de datos de Eskimi

Al analizar en conjunto la dirección de correo electrónico, el nombre de usuario, la fecha de nacimiento, el género y la ubicación geográfica del registro antiguo, se obtiene una imagen significativa del perfil del usuario. En el contexto de la tecnología publicitaria y la segmentación de usuarios, estos campos pueden utilizarse para elaborar mensajes que parezcan personalizados. El campo de ubicación geográfica no implica necesariamente que existan coordenadas GPS exactas para cada usuario; también puede referirse a una región, una ciudad o una ubicación más general. Aun así, al combinarlo con el correo electrónico y el nombre de usuario, aumenta el riesgo para la privacidad.

El campo de contraseña representa uno de los riesgos más críticos. Con un hash MD5 sin sal, las contraseñas iguales generan el mismo valor hash, lo que facilita que los atacantes prueben rápidamente listas de contraseñas comunes. Un hash no significa necesariamente que la contraseña esté expuesta en texto plano; sin embargo, las contraseñas débiles o reutilizadas tienen más probabilidades de ser descifradas. Si un usuario ha empleado la misma contraseña para el correo electrónico, las redes sociales, los paneles publicitarios u otros servicios, esta filtración puede dar lugar a intentos de toma de control de cuentas.

El alcance principal verificado de este registro es de 1 197 620 direcciones de correo electrónico únicas. Se ha informado de que el conjunto de datos completo contiene aproximadamente 26 millones de registros. Estas dos cifras no deben confundirse: una persona puede tener varios perfiles o entradas de eventos. La fecha del incidente consta como el 25 de septiembre de 2020; que el registro se incorporara a sistemas de consulta de filtraciones en 2022 no significa que la filtración ocurriera en 2022.

Las categorías de datos verificadas son fecha de nacimiento, correo electrónico, género, ubicación geográfica, contraseña y nombre de usuario. El número de teléfono, la dirección física, la tarjeta de pago, la cuenta bancaria, el nombre y apellidos reales y el presupuesto de campañas publicitarias no forman parte de las categorías verificadas de este registro. Tampoco debe describirse la ubicación como un dato preciso o sensible en todos los registros. Una descripción adecuada debe explicar conjuntamente los campos de perfil y el riesgo de las contraseñas protegidas con hashes débiles, sin exceder el alcance verificado.

El grupo con mayor riesgo está formado por los usuarios que reutilizan la contraseña de su cuenta de Eskimi en otras cuentas. Si se utiliza la misma combinación de correo electrónico y contraseña en una cuenta de correo, redes sociales, herramientas publicitarias o cuentas empresariales, los atacantes pueden intentar iniciar sesión de forma automatizada. La fecha de nacimiento y el género pueden servir como contexto adicional en procesos de recuperación de cuentas o en mensajes dirigidos.

Los usuarios vinculados a la tecnología publicitaria, el marketing y las cuentas de editores también deben actuar con cautela. La ubicación geográfica y el nombre de usuario pueden ayudar a estimar en qué mercado o región desarrolla su actividad una persona. Para quienes se registraron con una dirección de correo electrónico corporativa, el riesgo puede extenderse a las cuentas de trabajo; las alertas falsas de paneles publicitarios, las notificaciones de presupuesto, las suspensiones de campañas o los mensajes de verificación de cuentas pueden resultar más convincentes.

Si su dirección de correo electrónico aparece en un registro antiguo, compruebe primero si ha reutilizado en otras cuentas la contraseña de esta cuenta. Si ha empleado la misma contraseña o una similar para el correo electrónico, un panel publicitario, redes sociales, cuentas de trabajo u otros servicios, cámbiela de inmediato. Las nuevas contraseñas deben ser únicas, largas y aleatorias, y deben guardarse en un gestor de contraseñas. Hacer pequeños cambios en la contraseña antigua no proporciona suficiente seguridad.

Active la verificación en dos pasos en las cuentas que la admitan. No haga clic directamente en enlaces de mensajes relacionados con cuentas publicitarias, presupuestos de campañas, notificaciones de pago, suspensiones de cuentas o verificaciones de seguridad. Si necesita revisar la cuenta, escriba manualmente la dirección del servicio correspondiente en el navegador. Compruebe si hay sesiones desconocidas y revise las reglas de reenvío y las opciones de recuperación de su cuenta de correo electrónico.

El incidente de Eskimi muestra que la filtración de datos de perfil junto con información de identificación de cuentas en plataformas AdTech supone un riesgo permanente. Las organizaciones deben utilizar contraseñas únicas, autenticación multifactor y acceso basado en roles para las cuentas de publicidad y marketing. Para almacenar contraseñas, no deben utilizarse métodos obsoletos como MD5 sin sal; deben preferirse algoritmos hash modernos, con sal y lentos. Las políticas de conservación de datos también deben limitar los campos de perfil innecesarios.

Para los usuarios, una estrategia a largo plazo consiste en gestionar las cuentas profesionales y personales de publicidad y marketing con direcciones de correo electrónico distintas y no reutilizar nunca las contraseñas. Los campos de perfil, como la ubicación geográfica, la fecha de nacimiento y el género, no deben compartirse sin necesidad, ya que son difíciles de cambiar o son personales. Los equipos corporativos deben aplicar una autenticación robusta y procesos periódicos de revisión de accesos en las cuentas de los empleados en paneles publicitarios.

Si su dirección de correo electrónico aparece en este registro, significa que coincide con una de las 1 197 620 direcciones únicas del conjunto de datos de aproximadamente 26 millones de filas. Esto no significa que se hayan filtrado su número de teléfono, su tarjeta de pago o su dirección física; estos campos no están incluidos en el alcance verificado. En cambio, la combinación de correo electrónico, nombre de usuario, fecha de nacimiento, género, información de ubicación y hash de contraseña MD5 sin sal supone un riesgo serio para la seguridad de la cuenta.

Lo adecuado es dejar de reutilizar contraseñas de inmediato, activar la autenticación de dos factores en las cuentas importantes, verificar por canales oficiales los mensajes sobre publicidad o seguridad de la cuenta y revisar su cuenta de correo electrónico. Las filtraciones de datos anteriores han mostrado que, cuando se filtran conjuntamente datos de perfil y contraseñas protegidas con hashes débiles, los riesgos de toma de control de cuentas y de phishing dirigido pueden persistir durante mucho tiempo.