Filtración de datos de Life360

Los tipos de datos que aparecen en este registro son direcciones de correo electrónico, nombres y números de teléfono. No se verificó el campo de contraseña; los principales riesgos son los avisos falsos sobre la cuenta, las invitaciones a grupos familiares y la ingeniería social por teléfono. Estos campos se evaluaron por separado; no se añadieron a la lista de categorías de datos los campos no verificados de tarjetas de pago, cuentas bancarias, documentos de identidad oficiales, mensajes privados, historiales médicos ni otros datos de perfil.

Dado que la marca Life360 es conocida por su función de compartir la ubicación, los usuarios pueden ser más propensos a creer mensajes sobre dispositivos falsos, círculos familiares o alertas de seguridad. Aunque una dirección de correo electrónico por sí sola supone un riesgo de correo no deseado y phishing, al combinarse con el nombre, el teléfono, la dirección, la IP, la fecha de nacimiento o información profesional, facilita que un atacante prepare un mensaje más personalizado. Por ello, la evaluación del riesgo no se basó únicamente en el número de registros, sino también en la utilidad de los campos al combinarse.

El alcance confirmado para marzo de 2024 es de aproximadamente 442 519 direcciones de correo electrónico únicas. Se conservaron los campos de datos verificados y se excluyeron los no confirmados. De este modo, se informa al usuario sobre el registro actual sin alarmarlo innecesariamente, pero tampoco se subestima el riesgo real.

Como no se verificaron el historial de ubicaciones ni los detalles de los miembros de la familia en este registro, estos campos no se incluyeron en la descripción. Si existen otros incidentes con un nombre similar al de este registro, no se agruparon en un único incidente de mayor alcance. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron en el contexto correcto más acotado posible; esto evita añadir filtraciones duplicadas o asociadas de forma incorrecta.

Los grupos de usuarios en riesgo son quienes tienen una cuenta de Life360 o cuya información de contacto está asociada al servicio. Los usuarios cuyos datos coincidan con los del registro deben tener en cuenta no solo la cuenta de ese servicio, sino también otras cuentas en las que utilicen el mismo correo electrónico, nombre de usuario o patrón de contraseña.

Los padres y las personas que administran una cuenta familiar pueden afrontar un mayor riesgo de ingeniería social mediante verificaciones falsas de dispositivos y mensajes de grupos familiares. Para quienes se hayan registrado con una dirección de correo electrónico corporativa, el riesgo puede ir más allá de la cuenta individual; los atacantes pueden enviar mensajes más convincentes utilizando información como el nombre, el cargo, el teléfono, la dirección, las compras, el identificador de juegos o el perfil profesional. Por tanto, los usuarios no deben considerar la coincidencia como un problema limitado a un único sitio.

Los usuarios afectados deben acceder a su cuenta de Life360 directamente desde la aplicación o la dirección conocida del sitio web y revisar sus ajustes de comunicación y seguridad. En el caso de las cuentas con un campo de contraseña, se deben cambiar las contraseñas de todas las cuentas que utilicen la misma; en las cuentas sin ese campo, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono y las notificaciones falsas. En ambos casos, la cuenta de correo electrónico debe protegerse con una contraseña robusta y única.

En lugar de hacer clic en los enlaces del mensaje, se debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. Los mensajes con códigos de verificación recibidos por teléfono, solicitudes de restablecimiento de contraseña o avisos de envíos, ofertas de empleo, asistencia, suscripciones o seguridad no deben darse por válidos sin verificarlos a través de un canal independiente.

Como parte de las prácticas de seguridad familiar, se deben eliminar los números de teléfono antiguos, proteger los correos electrónicos de recuperación de cuentas e informar a los miembros de la familia de que no deben compartir códigos de verificación. Conviene revisar periódicamente las cuentas antiguas, los números de teléfono y campos de dirección que ya no se utilicen, los nombres de usuario repetidos y los patrones de contraseña idénticos para eliminar lo innecesario y corregir las reutilizaciones. Los usuarios deben utilizar una contraseña única para cada servicio y activar la autenticación de dos factores siempre que sea posible.

Desde la perspectiva de los proveedores de servicios, conservar solo los datos imprescindibles, proteger las contraseñas de forma robusta, supervisar los registros de acceso, eliminar los campos de perfil innecesarios y notificar a los usuarios tras una filtración son requisitos fundamentales. En las aplicaciones que ofrecen servicios de ubicación, incluso los datos de comunicación tienen importantes implicaciones de seguridad por su contexto. En estos casos, comunicar el alcance con precisión es tan importante como subsanar el problema técnico; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

El usuario debe empezar por comprobar la dirección de correo electrónico en este registro. Si se encuentra una coincidencia, debe considerar que algunos registros podrían contener el nombre y el teléfono, y verificar también los mensajes relacionados con la seguridad familiar y de los dispositivos. La ausencia de coincidencias no descarta por completo la reutilización de contraseñas antiguas ni el uso de otros correos electrónicos asociados al mismo servicio; por ello, las cuentas críticas deben revisarse por separado.

Este registro mantuvo su estado de verificado; sin embargo, el indicador de datos sensibles quedó desactivado porque los campos verificados no contenían datos de ubicación ni contraseñas. En esta configuración, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco con un texto original, no se incluyeron campos no verificados y el indicador de datos sensibles solo se utilizó cuando el contexto de riesgo lo justificaba.