Filtración de datos de Imgur
La filtración de datos de Imgur se confirmó después de que un investigador de seguridad entregara a la empresa datos históricos de cuentas en noviembre de 2017.
Tipos de datos expuestos
2- Direcciones de correo electrónico
- Contraseñas
Acerca de esta brecha de datos
El aviso archivado de Imgur indica que aproximadamente 1,7 millones de cuentas se vieron afectadas en 2014. En cambio, un índice de filtraciones verificado sitúa el incidente en septiembre de 2013 e informa de 1 749 806 cuentas afectadas. Como las fuentes no explican la discrepancia entre los años, el título no fija un año definitivo para el incidente, y ni 2013 ni 2014 se presentan como fechas indiscutibles.
Imgur afirmó que la información de las cuentas que se vio comprometida se limitaba a las direcciones de correo electrónico y las contraseñas. La empresa declaró que no solicitaba a los usuarios nombres reales, direcciones físicas, números de teléfono ni otros datos que permitieran identificarlos directamente, y que esos campos no se vieron afectados. Esta ficha tampoco permite establecer que se hayan expuesto datos de tarjetas de pago, mensajes privados o imágenes subidas.
¿Cómo estaban protegidas las contraseñas?
El aviso de la propia empresa indica que, en aquel momento, las contraseñas se almacenaban como hashes SHA-256 y que algunas podrían haberse recuperado mediante ataques de fuerza bruta debido a la antigüedad del algoritmo. El índice verificado señala que posteriormente aparecieron contraseñas en texto plano en los datos que circulaban, lo que sugiere que más tarde podrían haberse recuperado las contraseñas correspondientes a muchos de los hashes obtenidos. Estas afirmaciones son compatibles: almacenar hashes en el servicio no impide que un atacante logre averiguar algunas de las contraseñas originales tras obtener esos hashes.
La respuesta de Imgur y medidas de seguridad recomendadas
La empresa afirmó que validó los datos el 24 de noviembre de 2017, comenzó a notificar a los usuarios afectados y exigió que cambiaran sus contraseñas. También indicó que había pasado a usar bcrypt en 2016; las fuentes públicas aún no confirman el método de acceso inicial ni la identidad del responsable. Si la contraseña que utilizaba en aquel momento, o una similar, sigue activa en otros servicios, sustitúyala por una contraseña única y active la autenticación multifactor. La coincidencia de una dirección de correo electrónico, por sí sola, no demuestra que la cuenta actual de Imgur de esa persona esté comprometida hoy.
Método de verificación y revisión editorial
LeakData compara el nombre del incidente, la fecha, la cantidad de registros afectados y los tipos de datos expuestos con fuentes accesibles. Los campos no verificados no se presentan como hechos, y los registros se actualizan cuando se dispone de nuevas pruebas.
Notificar errores u omisiones en la información
