Filtración de datos de Lexipol

Los tipos de datos observados en este registro son direcciones de correo electrónico, nombres, números de teléfono, nombres de usuario y contraseñas. Según la evaluación, las contraseñas se almacenan en formatos como MD5 o SHA-256; las contraseñas débiles son vulnerables a ataques sin conexión. Estos campos se evaluaron por separado; no se añadieron a la lista de categorías de datos tarjetas de pago, cuentas bancarias, documentos oficiales de identidad, mensajes privados, historiales médicos ni campos de perfil adicionales que no se hubieran verificado.

Los usuarios vinculados a instituciones de seguridad pública pueden ser objeto de mensajes como falsas actualizaciones de políticas, invitaciones a cursos de formación o comunicaciones para compartir documentos. Una dirección de correo electrónico por sí sola genera un riesgo de correo no deseado y phishing, pero, al combinarla con nombres, números de teléfono, direcciones, IPs, fechas de nacimiento o información profesional, resulta más fácil para los atacantes elaborar mensajes más personalizados. Por ello, la evaluación del riesgo no se basó únicamente en el número de registros, sino también en la utilidad de los campos al combinarlos.

El alcance se verificó con el recuento de 672 546 correspondiente a febrero de 2025. Se conservaron los campos de datos verificados y se excluyeron los no confirmados. De este modo, se informa al usuario sobre el registro actual sin alarmarlo en exceso, pero tampoco se subestima el riesgo real.

No se añadieron campos como direcciones, documentos oficiales de identidad, datos de pago o de salud porque no se habían verificado; el incidente se mantuvo en el contexto de los registros de usuarios y los documentos asociados. Si existían otros incidentes con nombres similares al de este registro, no se agruparon en un único incidente de mayor alcance. El nombre de dominio, el nombre de la empresa y la información del sector se conservaron dentro del contexto correcto más delimitado posible; esto también evita añadir filtraciones duplicadas o asociadas incorrectamente.

Los grupos de usuarios en riesgo son el personal de seguridad pública, los representantes de organismos y los usuarios de gestión de políticas que tienen una cuenta en los sistemas de Lexipol. Los usuarios para los que se encuentre una coincidencia deben tener en cuenta no solo la cuenta del servicio correspondiente, sino también otras cuentas en las que utilicen el mismo correo electrónico, nombre de usuario o patrón de contraseña.

Los números de teléfono y los nombres de usuario pueden hacer más convincentes los mensajes dirigidos que aparentan proceder del soporte interno o ser notificaciones de seguridad. Para las personas registradas con una dirección de correo electrónico corporativa, el riesgo puede ir más allá de una cuenta personal; los atacantes pueden enviar mensajes más convincentes utilizando información como el nombre, el cargo, el número de teléfono, la dirección, las compras, el identificador de videojuegos o los detalles del perfil profesional. Por ello, los usuarios no deben considerar que la coincidencia sea un problema limitado a un único sitio.

Los usuarios afectados deben cambiar sus contraseñas, y los administradores de las organizaciones deben aplicar medidas como el cierre de sesiones, el restablecimiento obligatorio de contraseñas y la verificación en dos pasos. En los registros que contengan un campo de contraseña, deben actualizarse todas las cuentas que utilicen esa misma contraseña; en los registros que no lo contengan, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono y las notificaciones de phishing. En ambos casos, la cuenta de correo electrónico debe protegerse con una contraseña segura y única.

En lugar de hacer clic en los enlaces del mensaje, se debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No se deben aceptar sin una comprobación por un canal independiente mensajes como códigos de verificación recibidos por teléfono, solicitudes de restablecimiento de contraseña, avisos de envío, ofertas de empleo o notificaciones de soporte, suscripción o seguridad.

En los servicios de seguridad pública deben ser obligatorios el acceso basado en roles, la autenticación multifactor y las revisiones periódicas del acceso a las cuentas. Deben depurarse regularmente las cuentas antiguas, los campos de teléfono y dirección que no se utilicen, los nombres de usuario recurrentes y los patrones de contraseña idénticos. Los usuarios deben utilizar una contraseña única para cada servicio y activar la verificación en dos pasos siempre que sea posible.

Para los proveedores de servicios, conservar solo los datos mínimos necesarios, proteger adecuadamente las contraseñas, supervisar los registros de acceso, eliminar los campos de perfil innecesarios y notificar a los usuarios tras una filtración son requisitos fundamentales. En los sectores sensibles, la seguridad de los sistemas de terceros afecta directamente a la relación de confianza operativa. En estos incidentes, comunicar el alcance con precisión es tan importante como la corrección técnica; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

El usuario debe realizar primero una comprobación con su dirección de correo electrónico en este registro. Si se encuentra una coincidencia, debe darse prioridad a las verificaciones adicionales relacionadas con los cambios de contraseña, el control de sesiones y las solicitudes de soporte recibidas por teléfono. La ausencia de coincidencias no descarta por completo la reutilización de contraseñas antiguas ni el uso de otras direcciones de correo electrónico asociadas al mismo servicio; por ello, las cuentas críticas deben revisarse por separado.

Este registro se ha verificado y se ha mantenido marcado como sensible; el sector y las etiquetas se han ajustado al contexto de la seguridad pública. En esta organización del contenido, los campos de datos se conservaron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco con un texto original, no se añadieron campos sin verificar y la marca de sensibilidad se utilizó únicamente cuando el contexto de riesgo la justificaba.