Filtración de datos de Fotolog y comprobación de correo

El conjunto de datos verificado contenía direcciones de correo electrónico, nombres de usuario y hashes de contraseñas SHA-256 sin sal. Una revisión técnica realizada en aquella época de las cinco bases de datos de Fotolog puestas a la venta también señaló la presencia de nombres completos, ubicaciones geográficas, intereses y otros datos de perfil, además de preguntas y respuestas de seguridad. Las 16 717 854 direcciones indicadas por fuente pública sobre la filtración de datos representan el alcance del incidente según una fuente externa; LeakData dispone de 16 231 463 asociaciones de direcciones de correo electrónico que se pueden buscar y están respaldadas por el archivo de origen. Esa cifra no demuestra que cada fila correspondiera a una persona distinta ni que todos los campos adicionales estuvieran presentes en todas las cuentas. Combinar el correo electrónico, el nombre de usuario, el nombre y la información del perfil puede facilitar el phishing dirigido y la vinculación con cuentas de otras plataformas. La reutilización de respuestas a preguntas de seguridad puede debilitar los procedimientos de restablecimiento de contraseñas en otros servicios. Los hashes de contraseñas no son texto sin cifrar, pero un esquema de hash rápido y sin sal ofrece poca resistencia a los intentos de adivinar contraseñas sin conexión, especialmente si son cortas, comunes o ya se han expuesto.

Según lo informado, los datos de las cuentas de Fotolog se sustrajeron en diciembre de 2018 y se ofrecieron como un paquete independiente en un mercado delictivo en febrero de 2019, junto con bases de datos atribuidas a muchas otras organizaciones. El paquete de Fotolog se anunciaba como cinco bases de datos que sumaban unos 5,9 GB y más de 16 millones de registros de cuentas. Aunque el vendedor afirmó haber aprovechado fallos en aplicaciones web de distintos sitios, las pruebas públicas no permitieron determinar el punto de entrada específico de Fotolog, el sistema afectado ni la cadena de ataque; por tanto, la ejecución remota de código no debe presentarse como la causa raíz confirmada. Fuente pública sobre la filtración de datos informa de un alcance de 16 717 854 direcciones de correo electrónico únicas; esa cifra no corresponde al número de asociaciones de LeakData respaldadas por el archivo de origen. Se trataba de una base de datos diferenciada, atribuida directamente a la estructura de cuentas de Fotolog, y no de una recopilación genérica de credenciales. El servicio dejó de existir en 2019 y su dominio se destinó posteriormente a otro uso; la ausencia de un portal activo para las cuentas de Fotolog no elimina el riesgo generado por los datos históricos.

El grupo de mayor riesgo está formado por las personas que reutilizaron su contraseña de Fotolog de 2018 en el correo electrónico, las redes sociales, un servicio de fotografías u otra cuenta. Los hashes de contraseñas SHA-256 sin sal hacen que contraseñas idénticas generen hashes idénticos y permiten a los atacantes probar listas de contraseñas comunes a gran velocidad. Un hash no revela directamente la contraseña correspondiente, y las contraseñas largas y únicas siguen siendo más difíciles de recuperar. Las contraseñas cortas, basadas en palabras de diccionario o expuestas en filtraciones anteriores son mucho más fáciles de adivinar. Las personas que reutilizaron una respuesta a una pregunta de seguridad en otro servicio también se enfrentan a ataques contra los procesos de restablecimiento de contraseñas y recuperación de cuentas. Combinar el nombre completo, la ubicación, los intereses, el nombre de usuario y el correo electrónico puede ayudar a los delincuentes a elaborar mensajes que hagan referencia a una fotografía antigua o al contexto de una comunidad.

Si recuerda su antigua contraseña de Fotolog, identifique todas las cuentas que aún utilicen esa contraseña o una similar y sustitúyala en cada una por una contraseña larga y única. Dé prioridad a su cuenta de correo principal, las redes sociales, el almacenamiento de fotografías en la nube y los servicios que guardan métodos de pago. Si reutilizó una respuesta a una pregunta de seguridad de Fotolog, cámbiela donde sea posible; elija una respuesta aleatoria e impredecible y guárdela en un gestor de contraseñas, en lugar de utilizar un dato biográfico real. Revise las sesiones de correo que no reconozca, las direcciones de recuperación y las reglas de reenvío; después, active la autenticación multifactor. Desconfíe de los mensajes que afirmen poder restaurar fotografías antiguas de Fotolog, reabrir una cuenta, resolver reclamaciones por derechos de autor o verificar un perfil; los delincuentes pueden utilizar la marca histórica y un nombre de usuario real. Dado que el servicio original ya no funciona, trate con especial cautela cualquier mensaje que ofrezca un enlace para restablecer una cuenta de Fotolog.

Utilice un gestor de contraseñas para generar una contraseña aleatoria y única para cada servicio, de modo que la recuperación de una contraseña a partir de un hash no ponga en riesgo otras cuentas. Mantenga activada la autenticación multifactor en el correo electrónico y los servicios esenciales, y dé preferencia a las llaves de seguridad resistentes al phishing o a los métodos basados en dispositivos cuando estén disponibles. Deje de utilizar definitivamente la antigua contraseña de Fotolog y las respuestas a sus preguntas de seguridad; reutilizarlas con pequeños cambios en su escritura no ofrece una protección significativa. Recuerde que las ubicaciones, los intereses y los nombres de usuario históricos visibles en perfiles sociales pueden servir para personalizar el phishing, y reduzca la visibilidad innecesaria de esos datos. Siga comprobando sus antiguas direcciones de correo electrónico en las consultas de filtraciones y verifique las alertas inesperadas de restablecimiento de contraseña por un canal independiente. Los datos de un servicio cerrado pueden circular indefinidamente, por lo que un plan de seguridad duradero debe abarcar las credenciales y los datos de identidad utilizados hace años, no solo las cuentas actuales.

Utilice el campo de búsqueda seguro de esta página para comprobar todas las direcciones de correo electrónico, actuales y antiguas, que pueda haber utilizado con Fotolog. Una coincidencia significa que la dirección figura entre las 16 231 463 asociaciones de direcciones de correo electrónico que se pueden buscar en LeakData y que se han validado a partir del archivo de origen; no demuestra que se haya recuperado la contraseña, que se haya accedido a otra cuenta ni que existieran todos los campos del perfil para esa persona. Si obtiene un resultado, revise las otras cuentas que utilizaban la contraseña o las respuestas de seguridad de 2018, elimine cualquier reutilización que persista e inspeccione la seguridad de su cuenta de correo. La ausencia de resultados no es una garantía absoluta, ya que una dirección puede haberse escrito de otra manera, el conjunto de datos puede omitir un registro o puede haber otra filtración que le afecte. Introduzca únicamente el identificador admitido en el campo de búsqueda; nunca proporcione una contraseña, un hash de contraseña, una respuesta de seguridad, un código de un solo uso ni información de pago. Volver a comprobar periódicamente las direcciones antiguas puede revelar conjuntos de datos verificados años después de un incidente. Si recibe una advertencia inesperada, evite el enlace incluido en ella y acceda al servicio correspondiente directamente por una vía independiente.