Filtración de datos de EyeEm

Las categorías de datos verificadas son direcciones de correo electrónico, nombres, nombres de usuario, biografías de perfil y hashes de contraseñas. El archivo puesto a la venta se anunciaba como un conjunto de 22 360 765 filas de cuentas, pero, según lo informado, aproximadamente tres millones no contenían una dirección de correo electrónico. Por tanto, la medida fiable del alcance de la filtración son las 19 611 022 direcciones de correo electrónico únicas identificadas tras eliminar los duplicados; ambas cifras no deben sumarse ni presentarse como si midieran lo mismo. No se puede suponer que cada fila contenga los cinco campos. Un nombre, un nombre de usuario y una biografía pueden vincular a una persona con sus fotografías y hacer más convincentes los ataques de phishing dirigidos. Las direcciones de correo electrónico facilitan la identificación de cuentas, mientras que los hashes de contraseñas pueden utilizarse para probar posibles contraseñas sin conexión y realizar intentos de acceso a servicios en los que se hayan reutilizado las credenciales. La información de tarjetas de pago y cuentas bancarias no figura entre las categorías verificadas, por lo que este incidente no debe presentarse como una exposición de datos financieros.

Se informó de que los datos de las cuentas habían sido robados de los servidores de EyeEm en febrero de 2018 y posteriormente se habían puesto a la venta junto con otros grandes conjuntos de datos. El incidente se hizo público el 11 de febrero de 2019; EyeEm notificó a sus clientes al día siguiente y obligó a restablecer las contraseñas de las cuentas. La fecha del 28 de febrero que figura en el registro representa un suceso del que solo se sabe que ocurrió durante ese mes, no una prueba del día exacto de la intrusión. Las contraseñas de las filas examinadas se describieron como hashes SHA-1. No hay pruebas fiables que permitan determinar si EyeEm utilizaba un valor de sal para cada contraseña, por lo que calificarlos como hashes «con sal» o «sin sal» sería especulativo. El resultado de SHA-1 no es texto sin cifrar, pero las contraseñas débiles pueden recuperarse probando posibles combinaciones sin conexión. El método de acceso inicial no se determinó públicamente, por lo que el incidente no debe atribuirse a una vulnerabilidad concreta, a un tercero ni a la actuación de un empleado sin pruebas.

El principal grupo de riesgo está formado por las personas que crearon una cuenta de EyeEm antes de febrero de 2018, se registraron con una dirección de correo electrónico o incluyeron un nombre real, un nombre de usuario y una biografía en su perfil. Los fotógrafos, los creadores visuales y los profesionales de la concesión de licencias pueden recibir ofertas fraudulentas convincentes, ya que es posible combinar nombres, identificadores de usuario y perfiles creativos. Una cuenta antigua sigue siendo relevante: su dirección de correo electrónico puede servir para identificar cuentas en otros servicios, el patrón de una contraseña antigua puede ayudar a predecir contraseñas más recientes y los detalles del perfil pueden facilitar la creación de mensajes creíbles. El uso indebido puede ir más allá de la toma de control de cuentas e incluir avisos falsos sobre derechos de autor, consultas sobre licencias, solicitudes de pago, peticiones de verificación de portafolios o solicitudes de restablecimiento de contraseña destinadas a obtener información nueva. La inclusión en el conjunto de datos no demuestra que se haya hecho un uso indebido de todas las cuentas ni que se hayan recuperado las contraseñas de todos los hashes. La exposición de datos, la recuperación de contraseñas y el acceso no autorizado confirmado a una cuenta son resultados distintos.

El restablecimiento obligatorio de contraseñas de EyeEm en 2019 invalidó la contraseña antigua en esa plataforma, pero el riesgo persiste en cualquier servicio donde se haya reutilizado la misma contraseña o una similar. Identifique esas cuentas y sustituya cada contraseña reutilizada por una contraseña segura y única; un gestor de contraseñas facilita el mantenimiento de esta práctica. Active la autenticación multifactor en los servicios importantes, empezando por el correo electrónico, y revise los datos de recuperación y las sesiones activas para detectar cambios que no reconozca. Trate con cautela los avisos de EyeEm, las propuestas de licencias de fotografías, las reclamaciones de derechos de autor y las ofertas relacionadas con portafolios: compruebe el dominio real del remitente y el destino de los enlaces. No abra archivos adjuntos inesperados; inicie sesión escribiendo la dirección del servicio en lugar de seguir un enlace de un mensaje. Elimine las reglas de reenvío del correo, las contraseñas de aplicaciones o los métodos de recuperación que no reconozca, cierre las sesiones desconocidas y revise la actividad de seguridad reciente.

La antigüedad de este incidente no significa que los datos de identidad expuestos hayan perdido su valor. Las direcciones de correo electrónico y los detalles de los perfiles pueden seguir siendo correctos durante años, y los conjuntos de datos antiguos pueden combinarse con recopilaciones más recientes para crear perfiles que permitan dirigir los ataques. Genere una contraseña distinta para cada servicio, active las alertas de filtraciones y contraseñas débiles en su gestor de contraseñas y dé preferencia a una aplicación de autenticación o una llave física para la autenticación multifactor. El uso de distintos alias de correo electrónico puede ayudarle a saber dónde se compartió una dirección y a reconocer con mayor facilidad los mensajes sospechosos. Limitar las biografías a la información necesaria también reduce el riesgo de ingeniería social; evite publicar su dirección personal, número de teléfono, fecha de nacimiento o los lugares que frecuenta sin una necesidad clara. Revise periódicamente las sesiones activas, las aplicaciones conectadas y la configuración de recuperación, y cierre las cuentas que ya no utilice. Verifique las alertas mediante la aplicación oficial o una dirección que escriba directamente, en lugar de utilizar un enlace del mensaje.

Una coincidencia con una dirección de correo electrónico significa que esta apareció en el conjunto de datos de EyeEm de febrero de 2018. No demuestra que la cuenta siga abierta, que una contraseña sea visible en texto sin cifrar ni que alguien haya tomado el control de la cuenta. Distinga el periodo de la filtración de su divulgación en febrero de 2019 y compruebe si reutilizó la contraseña antigua en otros servicios. Si hay una coincidencia, proteja primero su correo electrónico y después las cuentas en las que pueda haber utilizado la misma contraseña o una similar. La ausencia de coincidencias no es una garantía absoluta de seguridad: puede haberse registrado con otra dirección, algunas filas no contenían correo electrónico o puede haber otro incidente que aún no se haya verificado. Combine las comprobaciones periódicas con las alertas del gestor de contraseñas, la autenticación multifactor y las revisiones de la actividad de las cuentas. Ante mensajes sospechosos, evalúe conjuntamente el dominio real del remitente, el destino de los enlaces, la urgencia y las solicitudes de contraseñas o pagos. Así, una comprobación de esta filtración histórica de EyeEm se convierte en una práctica de seguridad continua.