Fun Office Pools Presunta exposición de datos

Los campos de datos verificables son direcciones de correo electrónico, nombres de usuario y contraseñas con hash. Una dirección de correo electrónico por sí sola puede utilizarse para enviar mensajes falsos de restablecimiento de contraseña, avisos de invitación a concursos de pronósticos o notificaciones de seguridad de la cuenta. Al combinarla con un nombre de usuario, los atacantes pueden comprobar si la persona utiliza la misma identidad en otros juegos, foros o plataformas sociales.

Un campo de contraseña con hash no significa que la contraseña esté en texto plano; sin embargo, las contraseñas débiles, cortas o reutilizadas siguen suponiendo un riesgo. Si se ha utilizado la misma contraseña en otros servicios, los datos de una cuenta antigua de concursos de pronósticos para la oficina podrían dar lugar a intentos de inicio de sesión en cuentas de correo electrónico, redes sociales o plataformas de juegos. Por ello, no debe ignorarse el incidente aunque su alcance sea moderado.

Como no hay respaldo independiente para el mes y el día exactos de este incidente, la fecha se limita al año 2016. El sistema normaliza la fecha al inicio del año; esto no constituye una afirmación precisa sobre el día exacto del incidente. El índice abierto accesible indica 56 788 personas afectadas y los campos de correo electrónico, nombre de usuario y contraseña con hash. Al no existir un registro en las principales listas de verificación, se mantiene la clasificación de no verificada.

No se añaden al registro nombres, números de teléfono, direcciones físicas, datos de tarjetas de pago, fechas de nacimiento, direcciones IP, mensajes privados ni información sobre transacciones con dinero real, porque no figuran entre los campos de datos respaldados para este incidente. Se excluye la información de nombres del antiguo campo DB existente porque no cuenta con suficiente respaldo en las fuentes. Mantener un alcance limitado es necesario para informar al usuario del nivel de riesgo correcto.

El mayor riesgo lo corren las personas que reutilizan en otros servicios la contraseña de su cuenta de Fun Office Pools. Como los servicios de concursos de pronósticos deportivos se utilizan con amigos, compañeros de trabajo o grupos familiares, los nombres de usuario y las direcciones de correo electrónico pueden vincularse con el círculo social de una persona. Esto puede hacer que las invitaciones falsas, las actualizaciones falsas de resultados o los mensajes de restablecimiento de contraseña resulten más convincentes.

Los usuarios que crean cuentas con una dirección de correo electrónico corporativa también deben tener cuidado. Esa dirección puede dar a los atacantes pistas sobre el lugar de trabajo de una persona y propiciar intentos de phishing más dirigidos mediante mensajes falsos sobre actividades de oficina o concursos de pronósticos deportivos. Aunque las cuentas antiguas se hayan olvidado, el riesgo de reutilizar contraseñas puede persistir.

Si el resultado es positivo, el primer paso es identificar en qué otros servicios se ha reutilizado la contraseña de la cuenta de Fun Office Pools y elegir una contraseña nueva y única para cada cuenta que la comparta. Debe darse prioridad a las cuentas de correo electrónico, redes sociales, plataformas de juegos, compras y trabajo. En las cuentas críticas debe activarse la autenticación multifactor.

Conviene tener precaución con los mensajes de la bandeja de entrada relacionados con invitaciones a concursos de pronósticos, puntuaciones, restablecimientos de contraseña o seguridad de la cuenta. En lugar de abrir los enlaces, debe accederse directamente al servicio correspondiente desde un navegador, y no se debe responder a los mensajes sospechosos. También deben revisarse por separado las sesiones desconocidas, las direcciones de recuperación y las reglas de reenvío de la cuenta de correo electrónico.

Utilizar contraseñas distintas para los servicios de concursos de pronósticos para la oficina, juegos y entretenimiento evita que una filtración de una plataforma antigua se extienda a otras cuentas. Elegir una contraseña única para cada servicio con un gestor de contraseñas reduce la probabilidad de que las listas de contraseñas con hash se utilicen de forma indebida en años posteriores. Deben cerrarse las cuentas que ya no se utilicen y revisarse periódicamente las direcciones de correo electrónico antiguas.

Si se opta por utilizar un correo electrónico corporativo para servicios de entretenimiento o concursos de pronósticos deportivos en el lugar de trabajo, debe advertirse a los usuarios sobre los mensajes de invitación falsos dirigidos a esa dirección. En las sesiones de formación, los equipos de seguridad deben explicar claramente las consecuencias de reutilizar contraseñas, que los servicios antiguos pueden seguir suponiendo un riesgo años después y la importancia de la autenticación multifactor.

Puede comprobar su dirección de correo electrónico en LeakData para saber si aparece en la lista de Fun Office Pools. Si el resultado es positivo, debe tomar medidas por la presencia de los campos de correo electrónico, nombre de usuario y contraseña, aunque el incidente esté clasificado como no verificado. Debe cambiar la contraseña en todas las cuentas en las que utilice la misma y añadir una verificación adicional a las cuentas críticas.

Aunque el resultado sea negativo, conviene revisar sus cuentas antiguas de concursos de pronósticos para la oficina, juegos y entretenimiento. Las contraseñas de servicios antiguos pueden reaparecer años después en distintas copias. Lo más fiable es utilizar contraseñas únicas y autenticación multifactor, cerrar las cuentas innecesarias y mantener el hábito de verificar directamente con el servicio los mensajes de restablecimiento de contraseña de origen desconocido.