Filtración de datos de Jefit de 2020

Jefit afirma que descubrió un incidente relacionado con los datos causado por un fallo de seguridad tras recibir varios avisos de usuarios; protegió sus servidores y las cuentas afectadas; corrigió el fallo; realizó una investigación forense; y se puso en contacto con las autoridades policiales. El aviso de la empresa indica que las cuentas registradas antes del 20 de septiembre de 2020 podrían haberse visto afectadas.

El comunicado de la empresa no especifica el día exacto del acceso inicial, quién lo llevó a cabo ni el periodo de obtención de los datos. Por ello, el 11 de agosto se mantiene como la fecha del registro externo verificado, sin presentarlo como un día de acceso exacto comunicado por la empresa. El 19 de marzo de 2021 es la fecha del aviso público, no la de otra filtración.

El aviso de la empresa enumera el nombre de usuario de la cuenta, la dirección de correo electrónico asociada a ella, la contraseña almacenada como un hash con un valor de sal único para cada cuenta y la dirección IP registrada al crear la cuenta. También indica que no todas las cuentas tenían una dirección IP. Dado que los pagos se gestionaban a través de tiendas o empresas de pago de terceros, Jefit afirma que no almacenaba información de pago de sus clientes y que no se vieron involucrados datos financieros.

El registro externo verificado informa de que las contraseñas aparecían como hashes de vBulletin o Argon2 y de que, posteriormente, circularon varios millones de contraseñas descifradas. Ese detalle técnico procede del análisis del conjunto de datos externo; no significa que la empresa afirmara que todas las cuentas utilizaban el mismo algoritmo o que se hubieran descifrado todas las contraseñas. Los registros de salud, el historial de entrenamientos, los mensajes privados, las tarjetas de pago y las cuentas bancarias no figuran entre las categorías de datos confirmadas.

La cifra de 9 052 457 corresponde al número de direcciones de correo electrónico únicas del conjunto de datos externo verificado. El proceso de una sola columna ejecutado en producción procesó 9 034 605 líneas de correo electrónico y creó 9 033 145 asociaciones únicas de correo electrónico. El archivo local se normalizó a partir de la columna de correo electrónico de la estructura de origen de Jefit; no se importaron contraseñas, nombres de usuario ni direcciones IP.

El recuento local de correos electrónicos únicos es inferior en 19 312 al externo. Como las fuentes no aclaran las diferencias de versión del conjunto de datos, normalización y eliminación de duplicados, las cifras no se combinan. Una coincidencia local solo permite confirmar el correo electrónico; no demuestra que hubiera una contraseña, un nombre de usuario o una IP de esa misma persona.

Si en 2020 utilizaba en Jefit una contraseña que también usaba en otro servicio, debe sustituirla en ese otro servicio por una contraseña única y activar la autenticación multifactor cuando esté disponible. El propio aviso de la empresa también anima a los usuarios existentes a sustituir su contraseña de Jefit por una combinación más segura.

En lugar de seguir enlaces de mensajes inesperados sobre membresías, planes de entrenamiento, vinculación de dispositivos o restablecimiento de contraseñas, acceda directamente a la dirección web o a la aplicación de Jefit. Una coincidencia de correo electrónico no demuestra que se hayan expuesto datos financieros, de salud o de entrenamientos; el alcance confirmado se limita al correo electrónico, el nombre de usuario, la IP registrada al crear la cuenta y un hash de contraseña.