hemmelig.com Filtración de datos

Los tipos de datos verificados son direcciones de correo electrónico, información sobre el género, apodos, fechas de nacimiento parciales, contraseñas y nombres de usuario. La dirección de correo electrónico puede servir para vincular los datos con la cuenta de comunicación principal de la persona. El nombre de usuario y el apodo pueden permitir relacionar perfiles de distintas plataformas. Los campos del perfil, como el género y la fecha de nacimiento parcial, pueden hacer más convincentes los mensajes de ingeniería social.

Los hashes de las contraseñas son especialmente importantes. MD5 se considera débil según los estándares de seguridad actuales; cuando no se utiliza sal, una misma contraseña genera siempre el mismo resultado, lo que facilita que los atacantes hagan pruebas rápidas con grandes listas de contraseñas. Por tanto, si el usuario recuerda su antigua contraseña, no puede considerarse que haya mitigado el riesgo sin realizar cambios en todas las cuentas cuyas contraseñas sigan el mismo patrón o uno similar.

El contexto de una tienda de productos para adultos hace que este incidente sea más sensible que una filtración habitual de cuentas de comercio electrónico. Aunque el conjunto de datos filtrado no contenga información sobre tarjetas de pago o direcciones, la vinculación de una persona con este servicio puede utilizarse para ejercer presión social, enviar mensajes que la avergüencen o realizar intentos de phishing dirigidos. Por ello, la seguridad de las contraseñas y la gestión de la privacidad deben abordarse conjuntamente.

En el incidente de hemmelig.com, la fecha confirmada de la filtración es el 21 de diciembre de 2011, la fecha de incorporación a la base de datos es el 25 de marzo de 2014 y el número de cuentas únicas afectadas es de 28 641. El incidente se encuentra en proceso de verificación independiente y debe mantenerse su carácter sensible. Las cifras de personas afectadas, los campos de datos y las afirmaciones de actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente.

El alcance se limita al dominio hemmelig.com y a las categorías de datos verificadas. El número de teléfono, la dirección física, la tarjeta de pago, la cuenta bancaria, el número de identificación oficial, el pasaporte, el contenido de los pedidos, los mensajes privados y las fotos de perfil no son campos verificados para este incidente. Por tanto, el riesgo que se presenta al usuario debe describirse a partir de los campos de correo electrónico, género, apodo, fecha de nacimiento parcial, contraseña y nombre de usuario.

En algunas descripciones de esta filtración se utiliza la expresión «más de 28 mil cuentas», aunque debe emplearse el valor de 28 641 como número de cuentas únicas. El recuento de filas sin procesar o los recuentos provisionales de listas antiguas pueden mostrar cifras diferentes; para calcular el impacto en los usuarios, deben tomarse como base el número verificado de cuentas únicas y los tipos de datos confirmados.

El grupo de mayor riesgo incluye a las personas que tenían una cuenta en hemmelig.com antes de 2011 o en ese año, que utilizaban la misma dirección de correo electrónico en otros servicios y que repetían la misma contraseña en varias cuentas. El riesgo de vincular identidades aumenta para quienes también utilizan su nombre de usuario o apodo en otras plataformas.

Las personas que podrían verse perjudicadas si se hiciera pública su vinculación con una tienda de productos para adultos corren un riesgo especialmente elevado para su privacidad. Los atacantes pueden intentar intimidarlas, avergonzarlas o exigirles un pago utilizando información antigua de correo electrónico, apodos o contraseñas. Estos mensajes no deben considerarse fiables de forma automática, aunque contengan información real de la cuenta.

La información sobre el género y la fecha de nacimiento parcial puede servir de apoyo en los procesos de recuperación de cuentas o en mensajes de phishing personalizados. Si el año de nacimiento o los datos parciales de la fecha se utilizan en preguntas de seguridad, en la elección de un PIN o en patrones de contraseñas, el usuario debe revisar estos campos por separado.

El usuario afectado debe dejar de utilizar por completo la contraseña de su cuenta de hemmelig.com. Si la misma contraseña o una similar sigue vigente en otras cuentas, debe elegir una contraseña nueva, larga y única para cada una. Es prioritario proteger la cuenta principal de correo electrónico, las redes sociales, las cuentas de compras y los servicios utilizados para restablecer contraseñas.

Debe activarse la verificación en dos pasos en las cuentas que la admitan. El usuario no debe realizar pagos en respuesta a mensajes amenazantes que contengan su antigua contraseña o apodo, ni hacer clic en sus enlaces; debe acceder directamente a sus cuentas desde una sesión de navegador de confianza. Deben revisarse las alertas de inicio de sesión inesperadas, las notificaciones de restablecimiento de contraseñas y los historiales de sesiones.

Si se utiliza información sobre la fecha de nacimiento parcial o el género en las preguntas de recuperación de cuentas, deben cambiarse esas respuestas. Si el nombre de usuario también aparece en otras plataformas, debe reducirse la visibilidad de los perfiles y limitarse la vinculación entre la cuenta de compras de carácter sensible y la identidad principal.

El incidente de hemmelig.com muestra el riesgo a largo plazo de registrarse con la identidad principal en servicios relacionados con compras de carácter sensible o contenido para adultos. En servicios similares, conviene utilizar un alias de correo electrónico separado, una contraseña única y la mínima información de perfil. El alias no debe coincidir con el utilizado en otras cuentas de redes sociales o foros.

Un gestor de contraseñas facilita la creación de contraseñas únicas y aleatorias para cada cuenta. Incluso las filtraciones antiguas basadas en MD5 pueden utilizarse años después en intentos de acceso mediante la reutilización automatizada de credenciales, por lo que deben abandonarse por completo los antiguos patrones de contraseñas. Los usuarios deben comprobar periódicamente las direcciones de correo electrónico y los apodos antiguos que hayan utilizado.

Para los equipos de seguridad de las empresas, estos incidentes recuerdan el riesgo de phishing dirigido a partir de las cuentas personales de compras o de servicios de carácter sensible de los empleados. La formación debe incluir situaciones de presión mediante el uso de datos privados, canales seguros para informar de los incidentes y un enfoque de apoyo a los empleados que evite estigmatizarlos.

El usuario que desee saber si le afectó la filtración de datos de hemmelig.com debe consultar la dirección de correo electrónico correspondiente en la pantalla de confianza «Seguridad de la cuenta». Un resultado positivo significa que la dirección de correo electrónico está incluida en el conjunto de datos sensible y verificado asociado con hemmelig.com. Este resultado no demuestra que el usuario tenga una cuenta activa en la actualidad; el riesgo puede proceder de información de una cuenta de 2011.

Los usuarios que obtengan un resultado positivo deben cambiar sus contraseñas, proteger su cuenta principal de correo electrónico, activar la autenticación de dos factores y reducir la reutilización de nombres de usuario. También deben comprobarse las direcciones de correo electrónico antiguas, los alias y los distintos nombres de usuario. Un resultado negativo solo significa que no se ha encontrado una coincidencia para la dirección de correo electrónico consultada; también deben revisarse otras direcciones utilizadas en el pasado.

Aunque la filtración de hemmelig.com parece de escala media, es importante por el contexto de compras de carácter sensible y el riesgo asociado a los hashes débiles. Lo más adecuado es dejar de reutilizar contraseñas, separar las cuentas de carácter sensible de la identidad principal, no responder a mensajes amenazantes y comprobar que la información de cuentas antiguas no siga utilizándose en otros servicios.