Filtración de datos de Gemplex

Los tipos de datos verificados son información del dispositivo, direcciones de correo electrónico, nombres, números de teléfono y contraseñas. La dirección de correo electrónico es el principal elemento que permite al atacante buscar al usuario en otros servicios y vincular una misma identidad con distintos conjuntos de datos. Al añadir el nombre, los mensajes parecen personalizados. El número de teléfono aumenta el riesgo de engaño mediante mensajes de texto y llamadas. La información del dispositivo puede dar pistas sobre el entorno desde el que el usuario accede al servicio de streaming; esto puede aprovecharse para crear mensajes de supuesto soporte técnico, verificación de dispositivos o notificaciones de actividad de la cuenta.

Se ha verificado que el campo de contraseña contiene hashes protegidos con bcrypt. Este método de almacenamiento es más resistente que el uso de contraseñas en texto plano; sin embargo, persisten los riesgos asociados a contraseñas débiles, cortas o reutilizadas. Los atacantes pueden intentar usar las combinaciones de correo electrónico y contraseña comprometidas en otros servicios. Los mensajes que incorporan el nombre, el teléfono y la información del dispositivo pueden dar la impresión de que el usuario ha recibido una alerta de seguridad auténtica relacionada con su cuenta de Gemplex. Por tanto, el riesgo no se limita a una sola cuenta, sino que puede extenderse a otras cuentas creadas con el mismo correo electrónico o número de teléfono.

La fecha verificada de la brecha es el 18 de febrero de 2021, y la fecha de incorporación a los sistemas de registro consta como el 9 de diciembre de 2023. El alcance total es de 4 563 166 cuentas. Las categorías de datos son información del dispositivo, direcciones de correo electrónico, nombres, números de teléfono y hashes de contraseñas. Para buscar a un usuario, el número de registros debe interpretarse como un recuento de cuentas únicas; la cifra redondeada de 4,6 millones que se menciona en distintos contextos es una representación aproximada de ese número. No debe suponerse que todos los usuarios tienen el mismo nivel de detalle, ya que algunos campos pueden estar presentes solo en determinadas cuentas.

También debe quedar claro qué aspectos están fuera del alcance verificado. Los datos de tarjetas de pago, cuentas bancarias, números de documentos oficiales de identidad, direcciones físicas, historial de navegación, contenidos visualizados o mensajes privados no son categorías de datos verificadas para este incidente. La información fiable disponible públicamente sobre la causa técnica del incidente es limitada; por ello, la explicación se centra en los campos de datos verificados, en lugar de especular sobre la causa. El riesgo que se presenta al usuario debe limitarse a la filtración de datos de la cuenta de streaming y de contacto; no deben incluirse afirmaciones no demostradas sobre datos de pago o documentos oficiales de identidad.

El primer grupo de riesgo lo forman quienes han creado una cuenta de Gemplex, utilizan el servicio de streaming en línea con sede en India o se registran en suscripciones a servicios de contenidos con la misma dirección de correo electrónico. Los usuarios que añaden su número de teléfono a la cuenta tienen un mayor riesgo de sufrir ataques de ingeniería social. Si utilizan la misma contraseña en otros servicios, el riesgo aumenta aún más, porque los atacantes pueden probar combinaciones de correo electrónico y contraseña en las páginas de inicio de sesión de distintos servicios. Tampoco se considera que las personas que ya no utilizan su antigua cuenta estén libres de riesgo, pues el correo electrónico y el número de teléfono pueden seguir vigentes durante mucho tiempo.

Quienes comparten un dispositivo con familiares, crean una cuenta en un servicio de contenidos con un correo electrónico de trabajo o reciben mensajes de soporte a través de su número de teléfono deben extremar la precaución. Un atacante puede enviar al usuario mensajes sobre renovación de suscripciones, verificación de dispositivos, acceso a contenidos, descuentos, cierre de cuentas o restablecimiento de contraseñas. Los mensajes pueden parecer más auténticos si la cuenta incluye información del dispositivo. Por ello, además de la seguridad de la contraseña, debe comprobarse la autenticidad de las notificaciones de la cuenta recibidas por teléfono y correo electrónico.

Si comprueba que se ha visto afectado, lo primero que debe hacer es revisar si utiliza en otras cuentas la contraseña que usaba en Gemplex. Si usa la misma contraseña o una similar en otros servicios, establezca una contraseña única, larga y segura para cada cuenta. Dé prioridad a la cuenta de correo electrónico, el gestor de contraseñas, las cuentas financieras, las redes sociales y otros servicios de publicación. Si todavía puede acceder a su cuenta de Gemplex, revise las sesiones, los dispositivos conectados, el número de teléfono y las preferencias de correo electrónico. Si el servicio ofrece opciones adicionales de verificación, actívelas.

No abra directamente enlaces de mensajes sobre Gemplex, suscripciones, pagos, verificación de dispositivos o alertas de seguridad. Si necesita acceder al servicio, escriba la dirección manualmente en el navegador o utilice una aplicación oficial que conozca. Rechace las solicitudes de contraseñas, pagos o códigos de verificación que reciba por teléfono. Si recibe un mensaje sospechoso, revise el historial de inicio de sesión de la cuenta sin hacer clic en el enlace y compruebe las alertas de acceso inusual en otros servicios vinculados a la misma dirección de correo electrónico. Estas medidas reducen el riesgo de que alguien tome el control de sus cuentas, incluso después de que los datos hayan circulado.

A largo plazo, deben utilizarse contraseñas diferentes para las cuentas de servicios de publicación, videojuegos, compras y redes sociales. Un gestor de contraseñas facilita la generación de contraseñas únicas para cada servicio y la localización de contraseñas antiguas. Si una cuenta no exige un número de teléfono, evite facilitarlo, y dé preferencia a una dirección de correo electrónico independiente para las cuentas de contenidos y entretenimiento. Cierre periódicamente las cuentas que no utiliza o reduzca la información personal que contienen. Así, la cantidad de datos que podría quedar expuesta en una futura filtración será más limitada.

En las brechas que incluyen información del dispositivo, la seguridad no debe limitarse a las contraseñas. Los usuarios deben revisar periódicamente los dispositivos vinculados a sus cuentas y sus preferencias de notificación. Deben cerrarse las sesiones que hayan quedado abiertas en teléfonos antiguos, tabletas compartidas y computadoras de uso común. La formación sobre phishing también debe contemplar mensajes relacionados con suscripciones a servicios de contenidos, acceso a contenidos y verificación de dispositivos. En el ámbito personal, denunciar los mensajes de texto sospechosos, no compartir información durante llamadas de desconocidos y mantener activadas las alertas de las cuentas ayuda a reducir el riesgo de forma duradera.

Los recuentos de personas, los campos de datos y las afirmaciones de actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente. Este resultado no significa que se hayan filtrado los datos de su tarjeta de pago, documento oficial de identidad, historial de navegación o dirección física. Los campos verificados son información del dispositivo, dirección de correo electrónico, nombre, número de teléfono y hash de contraseña protegido con bcrypt. La primera comprobación consiste en determinar si ha reutilizado en otras cuentas la contraseña que usaba en Gemplex.

Si ha reutilizado su contraseña, cámbiela en las cuentas correspondientes, una por una, y active opciones adicionales de verificación siempre que sea posible. Preste atención a los mensajes de texto sobre suscripciones, verificación de dispositivos o seguridad de la cuenta, ya que su número de teléfono también puede haberse visto afectado. No abra enlaces sospechosos; acceda al servicio mediante direcciones conocidas o la aplicación oficial. Revise la actividad de inicio de sesión en otras cuentas de servicios de contenidos y redes sociales que utilicen la misma dirección de correo electrónico. La respuesta adecuada a este incidente es reducir los riesgos a largo plazo para la seguridad de las cuentas derivados del correo electrónico, el teléfono, la información del dispositivo y los hashes de contraseñas antiguas, en lugar de ampliar el alcance a tipos de datos cuya exposición no se ha verificado.