Filtración de datos de Glofox

Las categorías de datos verificadas son fechas de nacimiento, direcciones de correo electrónico, género, nombres, contraseñas y números de teléfono. Las direcciones de correo electrónico y los nombres pueden utilizarse para enviar falsas alertas de inicio de sesión, mensajes de renovación de membresías, notificaciones de reservas o engaños mediante mensajes falsos de restablecimiento de contraseñas. Los números de teléfono abren un canal adicional para fraudes por SMS y llamadas de soporte falsas. La fecha de nacimiento y la información sobre el género ayudan al atacante a dar al mensaje una apariencia más personal. Esta combinación supone un mayor riesgo de ingeniería social que la filtración de correos electrónicos por sí sola.

El campo de contraseña requiere especial atención. Los hashes MD5 sin sal se consideran débiles según los estándares de seguridad actuales; las contraseñas débiles pueden adivinarse rápidamente o compararse con filtraciones anteriores. Si el usuario ha reutilizado la misma contraseña en su correo electrónico, cuentas de gimnasio, redes sociales u otros servicios en línea, el riesgo se extiende más allá de la cuenta de Glofox. Aunque no se haya verificado la contraseña en texto claro, cambiarla y dejar de reutilizar contraseñas deben considerarse medidas urgentes debido a la debilidad del tipo de hash.

La fecha verificada del incidente se basa en datos de archivo del 27 de marzo de 2020, y la fecha de inclusión en la lista figura como el 10 de enero de 2021. Por tanto, no es correcto interpretar un resultado de Glofox en una búsqueda realizada por un usuario como una nueva filtración de 2025. Las fechas posteriores pueden corresponder a la reaparición de los datos en distintas listas, a su verificación o a su incorporación a sistemas; el incidente en sí corresponde a marzo de 2020.

No se ha confirmado la exposición de información financiera ni de datos de tarjetas de crédito o métodos de pago. Las notificaciones destacan que no hay contraseñas en texto claro; por ello, la divulgación del incidente no presenta las contraseñas como una filtración en texto claro. Al mismo tiempo, el hecho de que los hashes de contraseñas estén protegidos mediante un método débil no elimina la necesidad de que los usuarios actúen. El informe debe evitar afirmaciones exageradas y explicar con claridad el riesgo combinado de los números de teléfono, las fechas de nacimiento y los hashes de contraseñas.

El grupo de mayor riesgo está formado por usuarios que tienen una membresía de gimnasio o estudio de fitness a través de Glofox y reutilizan la misma contraseña en otras cuentas. En estos casos, un atacante puede iniciar intentos de acceso a otros servicios utilizando su dirección de correo electrónico y el hash de su contraseña. El segundo grupo está formado por miembros que han compartido su número de teléfono y su fecha de nacimiento. Esta información puede utilizarse en mensajes que parezcan personales, como falsas renovaciones de membresías, reservas de clases, alertas de pago o notificaciones de seguridad de la cuenta.

El tercer grupo de riesgo está formado por personas que utilizan la misma dirección de correo electrónico para sus cuentas de trabajo, gimnasio, salud, redes sociales y servicios financieros. Una membresía de gimnasio no debe clasificarse directamente como un dato de salud; sin embargo, al combinarse con información sobre rutinas personales, estilo de vida y datos de contacto en el contexto del gimnasio, aumenta el riesgo para la privacidad. Por ello, los usuarios que vean una coincidencia con Glofox deben revisar no solo su cuenta del gimnasio, sino también todas las cuentas importantes vinculadas a las mismas credenciales.

El primer paso es cambiar la contraseña de la cuenta de Glofox o del gimnasio afiliado por una contraseña única y segura. Si se ha utilizado la misma contraseña o una similar en otras cuentas, deben elegirse contraseñas nuevas y distintas para todas ellas. También debe protegerse la cuenta de correo electrónico, ya que los enlaces de restablecimiento de contraseñas suelen gestionarse a través del correo. Debe activarse la autenticación multifactor en las cuentas importantes y, si es posible, dar preferencia a una aplicación de códigos de un solo uso o a una llave de seguridad.

No acceda a Glofox directamente desde enlaces incluidos en correos electrónicos o SMS sobre gimnasios o reservas. Si recibe avisos sobre la renovación de su membresía, reservas de clases, problemas de pago o alertas de seguridad de la cuenta, introduzca manualmente la dirección para comprobarlos. No comparta contraseñas, códigos de verificación ni información de pago durante llamadas telefónicas. Dado que la fecha de nacimiento y el número de teléfono podrían haberse filtrado, estos datos por sí solos no deben considerarse una prueba de identidad en las preguntas de autenticación.

A largo plazo, los usuarios deben utilizar contraseñas distintas para sus cuentas de gimnasio, comercio electrónico y redes sociales, generar contraseñas seguras con un gestor de contraseñas y reducir los datos personales innecesarios en cuentas antiguas. La información permanente, como los números de teléfono y las fechas de nacimiento, es difícil de cambiar; por eso, puede volver a aparecer en mensajes fraudulentos incluso años después de una filtración. Si el usuario ya no utiliza su antigua cuenta de fitness, debería limitar la configuración de la cuenta y las preferencias de comunicación, y reducir la información innecesaria de su perfil.

La filtración de Glofox demuestra que, en los sistemas de gestión de membresías, la seguridad de las contraseñas y los datos de los perfiles personales deben protegerse de forma conjunta. La protección débil de los hashes de contraseñas, combinada con números de teléfono y fechas de nacimiento, genera riesgos a largo plazo. Mantener buenas prácticas con las contraseñas, proteger el correo electrónico, estar alerta ante los fraudes por SMS y proteger los canales de recuperación de cuentas reduce la probabilidad de que los datos de estas filtraciones antiguas vuelvan a utilizarse.

Los usuarios que encuentren una coincidencia con Glofox en LeakData deben interpretar el resultado como el incidente de datos de membresías de gimnasio y cuentas del 27 de marzo de 2020. Una coincidencia no significa necesariamente que se hayan filtrado con certeza datos de tarjetas de crédito o métodos de pago; sin embargo, los correos electrónicos, números de teléfono, fechas de nacimiento, género, nombres y hashes de contraseñas suponen un riesgo para la seguridad de las cuentas y pueden utilizarse para dirigir mensajes a usuarios concretos. Las medidas del usuario deben centrarse en cambiar las contraseñas, reforzar la seguridad de la cuenta de correo electrónico y comprobar las notificaciones falsas recibidas por teléfono.

El enfoque más adecuado para este incidente es tomar el control de las cuentas y reducir el riesgo de ingeniería social sin generar alarma por las tarjetas bancarias. El usuario debe cambiar su contraseña de Glofox, revisar y proteger todas las cuentas que utilicen la misma contraseña, activar la autenticación multifactor y comprobar los mensajes sobre gimnasios o reservas a través de los canales oficiales de inicio de sesión. Estas medidas reducen considerablemente la probabilidad de que una antigua filtración de datos archivados se utilice en nuevos intentos de fraude.