Filtración de datos de GeniusU

Los tipos de datos verificados son direcciones de correo electrónico, nombres, direcciones IP, ubicaciones geográficas, información de género, perfiles de redes sociales y contraseñas. La dirección de correo electrónico es el principal punto de conexión que permite a un atacante buscar al usuario en distintos servicios. El nombre y los enlaces a perfiles pueden relacionarse con la presencia pública de la persona en una comunidad profesional o de emprendimiento. La dirección IP y la información de ubicación pueden aportar pistas adicionales sobre el contexto de acceso del usuario. La información de género, aunque por sí sola no basta para comprometer una cuenta, puede utilizarse en mensajes personalizados.

El campo de contraseña debe tratarse como un conjunto de valores hash protegidos con bcrypt, no como valores en texto plano. Este tipo de almacenamiento es más seguro que el texto plano; sin embargo, los riesgos persisten cuando las contraseñas son débiles o se reutilizan. Los atacantes pueden intentar usar en otros servicios combinaciones obtenidas a partir del correo electrónico y los hashes de contraseñas. Los enlaces a perfiles de redes sociales y los nombres pueden hacer más convincentes las falsas invitaciones de mentoría, las notificaciones de eventos, los mensajes sobre acceso a cursos o redes de inversión y las alertas de seguridad de la cuenta. Por tanto, el riesgo no se limita a una única cuenta de la plataforma.

La fecha registrada de la filtración es el 2 de octubre de 2020, y la de su incorporación a índices generales de filtraciones es el 8 de enero de 2021. El número de cuentas verificadas para la búsqueda de usuarios es de 1 301 460. La resolución de la autoridad reguladora indica que se vieron afectados los datos personales de aproximadamente 1,26 millones de usuarios e identifica los datos afectados como nombre, dirección de correo electrónico, ubicación y dirección IP del último inicio de sesión. El anuncio de la empresa señala que se vieron afectados los campos de nombre, correo electrónico, hash de contraseña y ubicación. Los índices de filtraciones también incluyen la información de género y los enlaces a perfiles de redes sociales como categorías de datos adicionales.

Debe quedar claro qué datos están fuera del alcance verificado. En este incidente no se ha verificado la filtración de información de tarjetas de crédito, cuentas bancarias, datos de salud, números de identificación oficial, contenido de mensajes privados ni transacciones de pago. El término correcto para las contraseñas no es «contraseña en texto plano», sino «información de contraseñas en forma de hash». Una resolución fiable de la autoridad reguladora vincula la causa del incidente con una cuenta de desarrollador comprometida y con el hallazgo de credenciales de la base de datos en el entorno de código; en el texto público dirigido a los usuarios, el riesgo principal debe evaluarse a partir de las categorías de datos verificadas y de las precauciones que debe tomar el usuario.

El primer grupo de riesgo lo forman emprendedores, formadores, mentores, estudiantes, miembros de comunidades y personas que siguen contenidos de desarrollo profesional y que han abierto una cuenta en GeniusU. Quienes utilizan la plataforma con un correo electrónico de trabajo corren un mayor riesgo de recibir mensajes dirigidos específicamente a ellos, ya que la dirección de correo electrónico y el nombre pueden vincularse con su identidad profesional. Los usuarios que incluyen un enlace a un perfil de redes sociales pueden asociarse con cuentas en otras redes. Cuando se dispone de información de ubicación y dirección IP de una persona, resulta más fácil adaptar los mensajes a contextos locales o regionales.

Quienes usan la misma contraseña en distintas cuentas de plataformas educativas, redes de trabajo, correo electrónico o redes sociales deben extremar la precaución. En las comunidades de emprendimiento y educación, los usuarios suelen compartir tanto su perfil público como su participación en eventos y sus enlaces a redes sociales. Esta información puede aprovecharse en intentos de ingeniería social, como falsas invitaciones a eventos, mensajes de inversores, reuniones con mentores, notificaciones de certificados o avisos de acceso a cursos. Las personas que ya no utilizan sus cuentas antiguas tampoco se consideran libres de riesgo; el correo electrónico, el nombre y los enlaces a perfiles pueden seguir siendo válidos durante mucho tiempo.

Si comprueba que se ha visto afectado, lo primero que debe hacer es revisar si ha utilizado la contraseña de GeniusU en otras cuentas. Si ha usado la misma contraseña o una similar en otro servicio, asigne a cada cuenta una contraseña única, larga y segura. Dé prioridad a las cuentas de correo electrónico, los gestores de contraseñas, las cuentas de redes sociales y redes profesionales y las plataformas educativas. Si tiene acceso a su cuenta de GeniusU, revise las sesiones, los perfiles de redes sociales conectados, la visibilidad del perfil, el campo de ubicación y las preferencias de correo electrónico.

No abra directamente enlaces relacionados con acceso a cursos, invitaciones de mentoría, entradas para eventos, certificados, redes de inversión, restablecimiento de contraseñas o seguridad de la cuenta. Si necesita acceder al servicio, escriba manualmente la dirección en el navegador o utilice una pantalla oficial de inicio de sesión que ya conozca. No comparta los códigos de verificación ni las solicitudes de contraseñas que reciba por teléfono, correo electrónico o redes sociales. Si utiliza un correo electrónico de trabajo, informe de esta coincidencia al equipo interno de seguridad y asegúrese de no utilizar la misma contraseña en las herramientas de trabajo.

A largo plazo, la defensa fundamental es utilizar contraseñas únicas para las cuentas educativas, de comunidades y de trabajo. Un gestor de contraseñas facilita la detección de contraseñas antiguas y reutilizadas. Los enlaces a perfiles de redes sociales solo deben compartirse cuando sea necesario, y los campos públicos del perfil deben revisarse periódicamente. Usar una dirección de correo electrónico independiente para las cuentas de comunidades profesionales dificulta que las identidades personal y laboral queden vinculadas en una misma filtración. Si el campo de ubicación no es obligatorio, debe limitarse al mínimo la información que contiene.

Las plataformas externas de formación y las cuentas de redes empresariales deben tratarse como un escenario específico en la formación sobre phishing para usuarios corporativos. La autenticación multifactor, las herramientas de gestión de secretos y las auditorías periódicas de acceso deben ser obligatorias para las cuentas de desarrolladores, los repositorios de código y el acceso a bases de datos. En el ámbito individual, mantener activadas las alertas de las cuentas, limitar las conexiones con redes sociales, comprobar las invitaciones a eventos desconocidos y cerrar las cuentas antiguas de comunidades reduce el riesgo de forma duradera.

Si aparece una filtración de GeniusU en el resultado de la búsqueda, es posible que su dirección de correo electrónico estuviera incluida en un conjunto de datos verificado de 1 301 460 cuentas. Este resultado no significa que se hayan filtrado su tarjeta de pago, su cuenta bancaria, sus datos de salud o su número de identificación oficial. Los campos verificados son dirección de correo electrónico, nombre, dirección IP, ubicación, información de género, enlaces a perfiles de redes sociales y hash de contraseña. La primera comprobación consiste en determinar si ha reutilizado la contraseña de GeniusU en otras cuentas.

Si ha reutilizado la contraseña, cámbiela en cada una de las cuentas correspondientes y active mecanismos de verificación adicionales siempre que sea posible. Reduzca los enlaces a sus perfiles, la información del campo de ubicación y los datos personales disponibles públicamente cuando no sean necesarios. No abra enlaces sospechosos relacionados con actividades, cursos, mentores, certificados o seguridad de la cuenta. Acceda al servicio mediante la dirección conocida y revise la configuración de seguridad de su cuenta de correo electrónico. La forma correcta de abordar este incidente es reducir el riesgo a largo plazo para la seguridad de las cuentas derivado del correo electrónico, el perfil, la ubicación, la dirección IP y el hash de contraseña, en lugar de amplificar afirmaciones no verificadas sobre datos financieros.