Ge.tt Filtración de datos

Esta filtración incluyó nombres, direcciones de correo electrónico, identificadores de perfiles de redes sociales y hashes SHA-256 de contraseñas. Los hashes SHA-256 no son contraseñas en texto claro; sin embargo, por sí solos no se consideran el método más robusto disponible actualmente para almacenar contraseñas. Si una contraseña es corta, predecible o se reutiliza en otras cuentas, los atacantes pueden intentar acceder a distintos servicios mediante ataques para recuperar contraseñas a partir de sus hashes e intentos automatizados de inicio de sesión. El riesgo aumenta si se utiliza la misma contraseña en cuentas de correo electrónico, almacenamiento en la nube, redes sociales o plataformas para compartir archivos.

Los identificadores de perfiles de redes sociales también son relevantes para la vinculación de perfiles. Al combinar la dirección de correo electrónico y el nombre con enlaces a perfiles sociales, resulta más fácil relacionar la identidad del usuario en distintas plataformas. Los mensajes que aparentan proceder de servicios para compartir archivos y contienen enlaces falsos para compartir, alertas de seguridad o notificaciones de descarga de archivos pueden resultar más convincentes. Por tanto, el usuario debe tener en cuenta no solo los riesgos relacionados con las contraseñas, sino también los de phishing con mensajes sobre enlaces y archivos.

La cifra verificada de este registro debe mantenerse en 2 481 121. Este valor representa el número de direcciones de correo electrónico únicas incluidas; no debe suponerse que cada registro corresponde a una persona real distinta. Aunque el conjunto de datos se haya incluido en un archivo de mayor tamaño destinado a la venta, eso no basta para añadir al registro de Ge.tt las cifras o los campos de datos de otras empresas. El alcance debe limitarse exclusivamente a los datos verificados de Ge.tt.

Los campos de datos verificados son direcciones de correo electrónico, nombres, contraseñas y perfiles de redes sociales. El campo de contraseña debe especificarse como un hash SHA-256. No deben añadirse al registro números de teléfono, direcciones físicas, tarjetas de pago, documentos de identidad oficiales, fechas de nacimiento, direcciones IP, contenido de archivos, enlaces privados a archivos, historiales de descarga ni contraseñas en texto claro, ya que no son campos verificados. Esta limitación permite mostrar al usuario el nivel de riesgo correcto y evita que se añadan campos no verificados por el mero hecho de tratarse de una plataforma para compartir archivos.

El mayor riesgo lo corren los usuarios que reutilizan en otras cuentas la contraseña de su cuenta de Ge.tt. Los servicios para compartir archivos suelen utilizarse junto con cuentas de correo electrónico y redes sociales. Si la misma dirección de correo electrónico o contraseña sirve para acceder a otras cuentas de almacenamiento en la nube, correo electrónico, redes sociales o trabajo, los atacantes pueden aprovechar esa relación para intentar tomar el control de las cuentas.

También deben tener cuidado las personas que utilizan su cuenta para compartir archivos con la misma identidad que sus perfiles de redes sociales. Cuando se dispone conjuntamente del nombre, la dirección de correo electrónico y el identificador del perfil social, se pueden preparar mensajes falsos sobre archivos compartidos, contratos, facturas, portafolios o enlaces a contenido multimedia. En particular, los usuarios que reciben archivos de trabajo, mensajes para compartir proyectos o avisos de descarga de contenido multimedia no deben abrir archivos sin verificar la autenticidad de los enlaces.

Si su dirección de correo electrónico figura en este registro, debe asegurarse de que la antigua contraseña de su cuenta de Ge.tt no siga utilizándose en ninguna otra cuenta. Si utilizó la misma contraseña o una similar en otros servicios, debe cambiarla de inmediato por una contraseña larga, única y difícil de adivinar. Utilizar un gestor de contraseñas reduce el riesgo de reutilización. El uso de un hash SHA-256 no hace que reutilizar contraseñas sea seguro.

Debe activar la autenticación multifactor en sus cuentas de correo electrónico, almacenamiento en la nube, redes sociales y trabajo. Cuando reciba mensajes sobre archivos compartidos, notificaciones de descarga, alertas de seguridad o verificación de cuentas, evite iniciar sesión a través de un enlace; introduzca manualmente la dirección del sitio oficial. Antes de abrir archivos adjuntos o enlaces a archivos que no esperaba recibir, compruebe el remitente y el nombre de dominio. También debe revisar la dirección de correo electrónico y la información de contacto que figuran públicamente en sus cuentas de redes sociales.

El incidente de Ge.tt muestra que vincular las credenciales de las cuentas para compartir archivos con cuentas de redes sociales y correo electrónico genera un riesgo más amplio. Los usuarios no deben reutilizar la misma contraseña en cuentas de servicios en la nube, plataformas para compartir archivos, correo electrónico y redes sociales. Las cuentas antiguas de plataformas para compartir archivos deben cerrarse o aislarse mediante contraseñas únicas. Utilizar los mismos enlaces a perfiles sociales en muchos servicios aumenta el riesgo de vinculación de perfiles.

La principal lección para los proveedores de servicios es que el almacenamiento de contraseñas no debe depender únicamente de funciones hash de propósito general y que los identificadores de perfiles sociales no deben conservarse más tiempo del necesario. Para almacenar contraseñas deben priorizarse métodos modernos con coste ajustable; cuando un incidente implique la difusión de datos y archivos destinados a la venta, debe informarse claramente a los usuarios de qué campos se han visto afectados. Si el contenido de los archivos no se ha visto afectado, también debe explicarse claramente ese límite.

Al comprobar el registro de la filtración de Ge.tt, el resultado indica si la dirección de correo electrónico introducida está presente en este conjunto de datos verificado. Si el resultado es positivo, deben considerarse dentro del alcance del riesgo la dirección de correo electrónico, el nombre, el identificador del perfil de redes sociales y el hash SHA-256 de la contraseña. Si el resultado es negativo, significa que no se ha encontrado ninguna coincidencia en este conjunto de datos concreto; esto no demuestra que la persona no esté afectada por otras filtraciones de plataformas para compartir archivos o redes sociales.

Las medidas adecuadas son dejar de utilizar por completo la antigua contraseña, cambiar todas las contraseñas reutilizadas, activar la protección multifactor en las cuentas de correo electrónico y servicios en la nube, revisar las conexiones con perfiles sociales y actuar con cautela ante mensajes falsos sobre archivos compartidos. Este registro no significa que se haya filtrado el contenido de los archivos; sin embargo, por las credenciales y la información de perfiles sociales implicadas, supone un riesgo de phishing dirigido.