Last.fm Filtración de datos

Los principales campos confirmados en la filtración de Last.fm son direcciones de correo electrónico, nombres de usuario, contraseñas y actividad en el sitio web. Al disponer tanto de la dirección de correo electrónico como del nombre de usuario, los atacantes pueden preparar intentos personalizados de adivinar contraseñas, alertas de seguridad falsas y mensajes de recuperación de cuentas. Por su parte, la actividad en el sitio web aumenta el riesgo de ingeniería social a través de las preferencias de la cuenta musical del usuario, el uso de su perfil y sus comportamientos asociados al servicio.

El almacenamiento de contraseñas como hashes MD5 sin sal es el factor de riesgo más crítico. MD5 es débil según los estándares de seguridad actuales; las contraseñas almacenadas sin un valor de sal pueden descifrarse más rápidamente mediante diccionarios y listas de hashes precalculados. Si se reutiliza la misma contraseña en cuentas de correo electrónico, redes sociales, música, videojuegos o compras, los atacantes pueden intentar usar las credenciales comprometidas en otros servicios. Por tanto, el resultado de Last.fm no es solo una advertencia sobre una antigua cuenta musical, sino un indicador de seguridad de la cuenta de alta prioridad que exige dejar de reutilizar contraseñas.

La filtración se produjo en marzo de 2012. El servicio emitió una advertencia a sus usuarios sobre la seguridad de las contraseñas en 2012, pero la verdadera magnitud del conjunto de datos se conoció más ampliamente en 2016. El conjunto de cuentas verificado contiene 37 217 682 direcciones de correo electrónico únicas; los informes de alcance más amplio sobre el incidente mencionan alrededor de 43 millones de filas de cuentas. Esta diferencia se debe a las cuentas duplicadas, la depuración de las direcciones de correo electrónico y la diferenciación de los registros únicos verificables.

Las categorías de datos de esta página se limitan a los campos que pueden verificarse en una consulta de seguridad de la cuenta: direcciones de correo electrónico, contraseñas, nombres de usuario y actividad en el sitio web. Los detalles técnicos del incidente que no se han confirmado y los campos adicionales del perfil cuya presencia no se ha verificado para cada usuario no se presentan aquí como campos de datos principales. El objetivo es mostrar a los usuarios dónde se concentra el riesgo real y destacar las medidas de seguridad adecuadas sin generar temor innecesario.

El principal grupo de riesgo lo forman las personas que tienen una cuenta de Last.fm, utilizan el mismo nombre de usuario en distintas plataformas y reutilizan contraseñas antiguas. Como los servicios de música suelen utilizarse junto con perfiles sociales, nombres de usuario y conexiones con otras plataformas, los atacantes pueden buscar la misma identidad en distintos sitios. Que el antiguo nombre de usuario siga apareciendo en cuentas de redes sociales, correo electrónico o videojuegos aumenta el riesgo de que se vinculen esas cuentas.

Las personas que reutilizan contraseñas corren un mayor riesgo. Aunque la contraseña utilizada en 2012 ya no se use hoy, los atacantes pueden probar variantes similares si las contraseñas nuevas se basan en el mismo patrón. Si la cuenta de correo electrónico está afectada por esa misma familia de contraseñas, los procesos de restablecimiento de contraseñas de otras cuentas también pueden ser objeto de ataques. Las preferencias musicales y el comportamiento en el perfil pueden utilizarse en mensajes falsos personalizados, por lo que tampoco debe ignorarse el riesgo de phishing.

Debe cambiar de inmediato las contraseñas de todas las cuentas en las que utilice la misma contraseña que en Last.fm o una similar. La nueva contraseña debe ser única, larga y aleatoria, y debe guardarse en un gestor de contraseñas. Debe dar prioridad a las cuentas de correo electrónico, redes sociales, servicios de música, videojuegos y plataformas que contengan información de pago. Añadir un número al final de la contraseña antigua o hacer pequeños cambios en las letras no ofrece protección suficiente.

Debe activar la autenticación multifactor en todas las cuentas que la admitan. Revise el historial de inicio de sesión, las direcciones de recuperación, las reglas de reenvío y los dispositivos desconocidos de su cuenta de correo electrónico. Tenga cuidado con las alertas de seguridad falsas relacionadas con Last.fm o los servicios de música, los enlaces para compartir canciones, los mensajes de verificación de perfiles y las solicitudes de restablecimiento de contraseñas. Compruebe el nombre de dominio antes de hacer clic en un enlace y no introduzca contraseñas a través de mensajes sospechosos.

El incidente de Last.fm demuestra que una vulneración ocurrida hace muchos años todavía puede afectar a la seguridad de las cuentas en la actualidad. Los usuarios deben revisar periódicamente sus contraseñas antiguas, evitar reutilizar la misma contraseña en distintos servicios y utilizar alias de correo electrónico siempre que sea posible. Si los nombres de los perfiles sociales, las cuentas de música y los nombres de usuario en foros son muy similares, resulta más fácil para los atacantes vincular las cuentas.

Para mantener una protección duradera, deben combinarse un gestor de contraseñas, una política de contraseñas únicas, la autenticación multifactor y las notificaciones de sesión. Las cuentas antiguas que ya no se utilicen deben cerrarse o, al menos, protegerse con una contraseña segura. En entornos corporativos, deben implantarse comprobaciones de contraseñas filtradas, formación en seguridad y políticas de verificación adicional para evitar que los empleados reutilicen en sus cuentas de trabajo las contraseñas de sus cuentas personales de música y redes sociales.

Si el resultado de Last.fm aparece en la comprobación de seguridad de la cuenta, significa que la dirección de correo electrónico correspondiente está incluida en el conjunto de cuentas verificado asociado a la filtración de datos de Last.fm de 2012. Este resultado no significa que su cuenta actual de Last.fm esté comprometida hoy; sin embargo, indica que el nombre de usuario, la dirección de correo electrónico y la información de la contraseña utilizados en el pasado pueden estar en riesgo de uso indebido. El riesgo es mayor si utilizó la misma contraseña en otras cuentas.

El primer paso es proteger su cuenta de correo electrónico y, después, actualizar una por una todas las cuentas que utilicen la misma contraseña o una similar. Si hay sesiones sospechosas, dispositivos desconocidos, mensajes inesperados de restablecimiento de contraseñas o notificaciones extrañas enviadas desde su cuenta, debe cerrar las sesiones e iniciar una revisión a través del centro de seguridad del servicio correspondiente. Dejar por completo de reutilizar contraseñas, actualizar las cuentas antiguas de música y redes sociales y actuar con cautela ante los mensajes de phishing son las medidas más eficaces para los usuarios con resultados de Last.fm.