Filtración de datos de Gab

Las cifras de personas, los campos de datos y las afirmaciones de los actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente. La información de nombres y avatares también facilita el reconocimiento de un mismo perfil. Aunque estos campos por sí solos no basten para cometer fraude financiero, aportan un contexto valioso para ataques de phishing dirigidos, notificaciones de seguridad falsas, daños a la reputación e intentos de apropiación de cuentas. Los nombres de usuario de las redes sociales suelen conservarse durante mucho tiempo; por ello, incluso una filtración antigua puede ser útil para vincular perfiles actuales.

Almacenar las contraseñas como hashes bcrypt ofrece mayor protección que hacerlo en texto plano. No obstante, las contraseñas débiles, cortas o reutilizadas siguen suponiendo un riesgo. Si se utiliza la misma contraseña en otras cuentas, los atacantes pueden combinar datos de filtraciones antiguas con nuevos intentos de inicio de sesión. No debe considerarse que el contenido de los mensajes esté verificado para cada usuario, pero quienes obtengan una coincidencia positiva no deben ignorar el riesgo para sus comunicaciones confidenciales.

El número de coincidencias únicas verificadas por correo electrónico para este registro debe mantenerse en 66 521. El hecho de que el extenso archivo de datos contenga millones de cuentas y contenido de acceso público constituye un contexto distinto; esa cifra no debe presentarse directamente como el número de personas que pueden encontrarse mediante una búsqueda por correo electrónico. El número de registros se refiere a coincidencias únicas con una dirección de correo electrónico. Una misma persona puede tener varias cuentas, y algunas cuentas pueden no incluir ningún campo de correo electrónico ni de contraseña.

Las categorías de datos verificadas son avatares, direcciones de correo electrónico, nombres, contraseñas, mensajes privados y nombres de usuario. No deben añadirse a esta lista números de teléfono, direcciones físicas, tarjetas de pago, números de documentos oficiales de identidad, fechas de nacimiento ni datos bancarios. El campo de mensajes privados también debe interpretarse como una indicación de que el archivo solo contiene un número limitado de registros de conversaciones; no debe suponerse que se hayan filtrado mensajes privados de cada registro. Esta limitación permite mostrar claramente al usuario tanto el riesgo real como los aspectos que siguen siendo inciertos.

El mayor riesgo corresponde a los usuarios que reutilizan la dirección de correo electrónico, el nombre de usuario o la contraseña de su cuenta de Gab en otras redes sociales, foros, cuentas de correo electrónico o cuentas en plataformas de publicación. Mantener el mismo nombre de usuario en distintas plataformas facilita la vinculación de perfiles entre sí. Al combinar el nombre, el avatar y el nombre de usuario de una cuenta de red social, los atacantes pueden elaborar notificaciones falsas e intentos de restablecimiento de contraseña más convincentes.

También están en riesgo los usuarios que evitan la exposición pública por motivos relacionados con sus mensajes privados o con el contexto de su contenido en redes sociales. Aunque una cuenta sea antigua, esté inactiva o se haya abandonado, el nombre de usuario y la dirección de correo electrónico utilizados anteriormente todavía pueden analizarse para vincularla con otras cuentas. Las personas en situaciones sensibles por motivos laborales, familiares, comunitarios o de visibilidad en los medios deben tener en cuenta no solo la seguridad de sus contraseñas, sino también el riesgo de vinculación de perfiles y de comunicaciones falsas.

Los usuarios cuyas direcciones de correo electrónico estaban presentes en esta filtración deben asegurarse de que la contraseña utilizada en su cuenta de Gab no sea válida en ninguna otra cuenta. Si se ha utilizado la misma contraseña, o una similar, en distintas cuentas, debe cambiarse en todas las cuentas afectadas por una contraseña larga, única y difícil de adivinar. Utilizar un gestor de contraseñas hace que este proceso sea más fiable. Al cambiar las contraseñas, no debe considerarse suficiente añadir únicamente un año, un símbolo o un carácter en minúscula al final.

Debe activarse la autenticación de dos factores en las cuentas de correo electrónico y de redes sociales. Si en el historial de actividad de la cuenta aparecen dispositivos desconocidos, sesiones inesperadas, notificaciones de restablecimiento de contraseña o mensajes de seguridad sospechosos, deben cerrarse las sesiones y revisarse las opciones de recuperación por correo electrónico y teléfono. Si los usuarios reciben chantajes, amenazas o mensajes engañosos relacionados con el contenido de mensajes privados o con la información del perfil, deben verificar la autenticidad del mensaje por medios independientes antes de hacer clic en cualquier enlace.

Una estrategia de seguridad a largo plazo para las cuentas de redes sociales no debe limitarse al cambio de contraseñas. Cuando los nombres de usuario, las fotos de perfil y las direcciones de correo electrónico son los mismos en distintas plataformas, resulta fácil vincular las cuentas. Los usuarios que deseen preservar su privacidad deben optar por direcciones de correo electrónico distintas y patrones de nombres de usuario diferentes para cada servicio. Las cuentas que no se utilicen deben cerrarse y, en aquellas que no puedan cerrarse, deben reducirse al mínimo los datos personales del perfil y utilizarse contraseñas únicas.

Cuando un mismo incidente en los sistemas del proveedor del servicio expone mensajes privados, información de perfiles y hashes de contraseñas, la respuesta al incidente debe llevarse a cabo con mayor cuidado. El almacenamiento seguro de contraseñas, el control de acceso, la segmentación de datos, las pruebas de seguridad periódicas y los procesos de notificación a los usuarios son requisitos básicos. En las notificaciones, el número de registros verificados que contienen correo electrónico/contraseña debe explicarse por separado del alcance general del archivo. Esta distinción permite a los usuarios tomar decisiones adecuadas sin alarmarse ni subestimar el riesgo.

Al verificar registros por infracciones de las normas, el resultado indica si la dirección de correo electrónico introducida existe en este conjunto de datos verificado. Si el resultado es positivo, deben evaluarse conjuntamente la dirección de correo electrónico, el nombre de usuario, el nombre, el avatar, el hash de la contraseña y el riesgo asociado a los mensajes privados, cuyo alcance es limitado. Si el resultado es negativo, significa que no se encontró ningún registro en este conjunto concreto de coincidencias por correo electrónico; esto no demuestra que la persona no figure con otro nombre de usuario en el archivo más amplio o en otro incidente.

Lo adecuado es dejar de utilizar por completo las contraseñas antiguas, cambiar todas las contraseñas reutilizadas, activar la protección multifactor en las cuentas de correo electrónico y de redes sociales, revisar los nombres de usuario repetidos que puedan permitir vincular perfiles y actuar con cautela ante mensajes sospechosos. Incluso una filtración antigua puede generar un riesgo actual cuando reúne datos de identidad en redes sociales, correo electrónico y contraseñas.