Filtración de datos de Exvagos

Los tipos de datos confirmados en este registro son la dirección de correo electrónico, el nombre de usuario, la dirección IP, la fecha de nacimiento y la información de contraseña. Cuando la dirección de correo electrónico y el nombre de usuario aparecen juntos, resulta más fácil vincular a la persona con distintos foros, sitios de descargas, redes sociales o cuentas de correo electrónico. La dirección IP no indica una ubicación exacta; sin embargo, puede aportar pistas limitadas sobre la región aproximada, el proveedor de servicios o el contexto de una sesión anterior. La fecha de nacimiento aporta información personal adicional que puede utilizarse de forma indebida en procesos relacionados con contraseñas, PIN, preguntas de seguridad y autenticación.

El almacenamiento de las contraseñas como hashes MD5 es el aspecto más crítico de este registro. Como MD5 es un algoritmo antiguo que permite realizar cálculos con rapidez, los atacantes pueden intentar descifrar con mayor facilidad contraseñas débiles, cortas, basadas en palabras del diccionario o reutilizadas en otras cuentas. Aunque la contraseña no esté escrita en texto sin formato, almacenar su hash con una protección débil genera un riesgo real. Por tanto, si la contraseña de la cuenta de Exvagos se utilizó en alguna otra cuenta, deben considerarse en riesgo tanto la cuenta de Exvagos como todas las demás cuentas que compartan esa contraseña.

El número verificado de cuentas de este registro es 2 121 789, y la fecha del incidente consta como el 21 de julio de 2022. Los datos se redistribuyeron posteriormente como parte de un conjunto de datos más amplio; sin embargo, esto no significa que el número de cuentas del registro de Exvagos sea mayor. En algunos índices secundarios pueden aparecer otros totales o cifras de cuentas únicas. Al informar públicamente sobre el incidente, debe utilizarse la cifra de referencia de 2 121 789, y las distintas cifras secundarias no deben presentarse como el número de víctimas verificado de forma definitiva.

Las categorías de datos verificadas se limitan a la fecha de nacimiento, la dirección de correo electrónico, la dirección IP, la contraseña y el nombre de usuario. No deben añadirse a este registro campos que queden fuera de esas cinco categorías verificadas. Tampoco es correcto hacer suposiciones sobre el tipo de contenido de la plataforma o los hábitos de descarga de los usuarios; el registro debe evaluarse únicamente desde el punto de vista de la seguridad de las cuentas y los perfiles. De este modo, se muestra el riesgo real para el usuario sin presentar campos no verificados como información confirmada.

El grupo de mayor riesgo está formado por las personas que también utilizan la contraseña de su cuenta de Exvagos en otros servicios. Si la misma contraseña se ha utilizado en una cuenta de correo electrónico, redes sociales, almacenamiento en la nube, otros foros, cuentas de videojuegos o sitios de compras, los atacantes pueden utilizar los antiguos datos de Exvagos en intentos automatizados de inicio de sesión. Si el nombre de usuario también se repite, aumenta el riesgo de vincular cuentas de distintas plataformas. Esto es especialmente importante para las personas que llevan años utilizando el mismo alias y la misma dirección de correo electrónico.

Los usuarios cuya fecha de nacimiento y dirección IP se conocen pueden ser más vulnerables a mensajes de phishing dirigidos específicamente a ellos. Los atacantes pueden elaborar mensajes sobre temas como la pertenencia anterior al foro, la verificación de la cuenta, el restablecimiento de la contraseña, las restricciones de acceso, los archivos adjuntos o los anuncios de la comunidad. La combinación de una dirección de correo electrónico y un nombre de usuario hace que el mensaje parezca más personal y convincente. Por tanto, el riesgo no se limita a los intentos de descifrar contraseñas: también abarca el rastreo de la identidad de la cuenta en otros servicios y el fraude dirigido.

Si recuerda la contraseña que utilizaba en su cuenta de Exvagos, cámbiela en todas las cuentas que utilicen la misma contraseña o una similar. Las nuevas contraseñas deben ser únicas, largas y aleatorias. La cuenta de correo electrónico debe ser la primera en protegerse, ya que es el punto central de recepción de los enlaces para restablecer contraseñas. Active la autenticación multifactor siempre que sea posible. No basta con reutilizar una contraseña antigua con pequeños cambios; los atacantes pueden probar automáticamente variaciones habituales.

Tenga precaución con los mensajes inesperados de verificación de cuentas, enlaces de descarga, anuncios del foro, concesiones de acceso o restablecimiento de contraseñas. Compruebe el dominio antes de hacer clic en un enlace y no confíe en los archivos ni en los enlaces incluidos en los correos electrónicos. No utilice su fecha de nacimiento como contraseña, PIN o respuesta a una pregunta de seguridad. Si su dirección IP se ha filtrado a partir de una sesión antigua, tenga en cuenta que esto por sí solo no indica una ubicación precisa; aun así, para proteger su privacidad conviene revisar la configuración de su red, la información de su perfil visible públicamente y la visibilidad de su dirección de correo electrónico.

A largo plazo, utilizar una contraseña diferente para cada cuenta de un foro o una comunidad de descargas es una medida de protección básica. Un gestor de contraseñas facilita tanto la creación de contraseñas únicas como el seguimiento de las cuentas antiguas. Si utiliza el mismo nombre de usuario en muchas plataformas, revise periódicamente qué cuentas son públicas. Cuando se vinculan perfiles antiguos de foros, mensajes archivados y enlaces a redes sociales, su identidad digital puede quedar más expuesta de lo necesario.

Desde la perspectiva de las plataformas, el incidente de Exvagos demuestra la importancia de los métodos de almacenamiento de contraseñas. Deben utilizarse métodos modernos y lentos de generación de hashes de contraseñas con sal, en lugar de algoritmos rápidos y obsoletos como MD5. Los datos de los usuarios deben conservarse solo durante el tiempo necesario, deben limitarse los plazos de conservación de las direcciones IP y debe informarse claramente a los usuarios cuando sea necesario cambiar una contraseña. Por parte del usuario, actualizar periódicamente las contraseñas, utilizar autenticación multifactor, enmascarar la dirección de correo electrónico y eliminar cuentas antiguas contribuye a reducir el riesgo de forma duradera.

Si ha utilizado Exvagos o ha creado una cuenta en exvagos.org, debe comprobar si su dirección de correo electrónico está asociada a este registro. Si hay una coincidencia, no lo considere simplemente un incidente de un foro antiguo; la combinación de hashes de contraseñas MD5, fecha de nacimiento, dirección IP y nombre de usuario también puede suponer un riesgo para otras cuentas. La prioridad es identificar todas las cuentas que utilizan la misma contraseña y cambiarla por una contraseña única en cada una. Después, revise la configuración de inicio de sesión y recuperación de su cuenta de correo electrónico y de los perfiles de redes sociales que utiliza con frecuencia.

Este registro describe la filtración de datos de Exvagos con un alcance confirmado: el incidente está relacionado con datos de cuentas de usuarios fechados el 21 de julio de 2022, el número de cuentas afectadas es 2 121 789 y los tipos de datos son la fecha de nacimiento, la dirección de correo electrónico, la dirección IP, la contraseña y el nombre de usuario. Las medidas para el usuario son dejar de reutilizar contraseñas, reforzar la seguridad de la cuenta de correo electrónico, comprobar la vinculación del antiguo identificador del foro con otras cuentas y actuar con precaución ante los mensajes dirigidos específicamente a usted.