Filtración de datos de Liker

El riesgo asociado a este registro se debe a la diversidad de los tipos de datos. Cuando una dirección de correo electrónico, un nombre de usuario y el nombre de una persona aparecen juntos, resulta más fácil identificar a esa persona en distintas redes sociales, foros o cuentas de trabajo. Un número de teléfono y una dirección IP pueden hacer que los mensajes de phishing resulten más convincentes. Los campos del perfil, como la fecha de nacimiento, el nivel educativo y la ubicación geográfica, aportan contexto adicional para ataques de ingeniería social. La exposición de mensajes privados aumenta el riesgo para la privacidad: terceros pueden hacer un uso indebido de información sobre las relaciones personales de los usuarios, sus opiniones políticas, su círculo de amistades, los nombres de sus cuentas en otras plataformas o sus preferencias de comunicación. La presencia de preguntas y respuestas de seguridad en texto sin formato es un problema más grave: si se utilizan las mismas respuestas en otros servicios, los atacantes pueden dirigir sus ataques a los procesos de restablecimiento de contraseñas. La protección de las contraseñas con bcrypt es un aspecto técnico positivo, pero el riesgo persiste cuando las contraseñas son débiles o se reutilizan.

El alcance verificado se limita a las cuentas de la red social Liker. Este registro no significa que se haya comprometido directamente ninguna cuenta de Gab, Parler, Facebook, Twitter u otra red social; el incidente se limita a la exposición de los datos de usuarios que conservaba el servicio Liker. La cifra de 465 141 corresponde a coincidencias únicas de direcciones de correo electrónico o cuentas. Aunque algunas fuentes de búsqueda pueden mostrar un número menor de filas, esta discrepancia puede deberse a la diferencia entre medir el subconjunto de datos accesible y contar las cuentas únicas. Los campos de datos verificados son numerosos, pero este registro no incluye entre ellos números de tarjetas de pago, cuentas bancarias, números de documentos oficiales de identidad ni datos de pasaportes. Se ha verificado que las contraseñas estaban almacenadas con bcrypt; no es correcto describirlas como contraseñas en texto sin formato en este registro. Por otra parte, la presencia de la pregunta y las respuestas de seguridad en texto sin formato supone un riesgo adicional para la recuperación de cuentas si los usuarios emplean las mismas respuestas en otras cuentas.

El mayor riesgo afecta a las personas que utilizan en su cuenta de Liker la misma dirección de correo electrónico, el mismo nombre de usuario o el mismo número de teléfono que en otras redes sociales. Si se repite la misma contraseña en distintos servicios, el riesgo de que alguien tome el control de una cuenta no desaparece por completo, aunque la protección con bcrypt aumente el costo de un ataque. También deben tener cuidado los usuarios que responden a las preguntas de seguridad con información real que reutilizan en otras cuentas. Respuestas como el apellido de soltera de la madre, el lugar de nacimiento, la escuela primaria o el nombre de una mascota pueden convertirse en pistas valiosas para un atacante si son las mismas en otras cuentas. El riesgo para la privacidad es mayor para quienes hayan compartido por mensajes privados en Liker información sobre sus vínculos personales, nombres de otras cuentas, conversaciones políticas, pistas sobre su dirección o datos telefónicos. Los enlaces a perfiles de redes sociales también facilitan el seguimiento de una persona entre plataformas. Como el servicio está fuera de línea, quizá no sea posible proteger directamente la cuenta de Liker; por ello, el riesgo se traslada a otras cuentas en las que se utilizan las mismas credenciales.

Si ha utilizado la contraseña de su cuenta de Liker en algún otro servicio, cámbiela de inmediato. Dé prioridad a las cuentas de correo electrónico, las cuentas de redes sociales, los servicios de mensajería y las cuentas de importancia financiera. Elija una contraseña larga y única para cada cuenta y active la autenticación de dos factores siempre que sea posible. Si las respuestas a las preguntas de seguridad que utilizó en Liker también son válidas en otros servicios, sustitúyalas por valores aleatorios, impredecibles y específicos de cada servicio. Examine con atención los enlaces sospechosos enviados al mismo número de teléfono o dirección de correo electrónico, las notificaciones falsas de soporte y los mensajes que afirmen estar relacionados con antiguas cuentas de redes sociales. Si en los mensajes privados aparece información de otras personas, conviene informar a esas personas de forma breve y clara. Vigile los correos de recuperación de cuentas, las sesiones de dispositivos desconocidos y las solicitudes inesperadas de restablecimiento de contraseñas como señales de seguridad.

Este incidente muestra que los campos del perfil almacenados en las cuentas de redes sociales pueden seguir generando riesgos incluso años después. A largo plazo, mantenga una contraseña distinta para cada cuenta de redes sociales, foros y comunidades, y elimine la reutilización de contraseñas con ayuda de un gestor de contraseñas. En los servicios que emplean preguntas de seguridad, prefiera respuestas aleatorias y específicas de cada servicio en lugar de respuestas reales. No comparta datos como la fecha de nacimiento, el nivel educativo, el número de teléfono o la ubicación si no son obligatorios en el perfil. Recuerde que los enlaces a perfiles de redes sociales conectan las cuentas antiguas con las nuevas: aunque utilizar el mismo nombre de usuario en todas partes sea práctico, facilita que los atacantes elaboren un perfil de una persona. Considere los mensajes privados como datos permanentes y no guarde en ellos credenciales de acceso a otras cuentas, números de teléfono, direcciones, pistas sobre su identidad ni información sensible sobre sus relaciones personales. Aunque el servicio antiguo haya cerrado, los datos filtrados pueden reutilizarse en nuevos intentos de phishing.

Conviene que consulten este registro quienes hayan abierto una cuenta de Liker, recibido una invitación de Liker o utilizado la misma dirección de correo electrónico al probar redes sociales. Si encuentra una coincidencia, la primera medida es dejar de utilizar la misma combinación de correo electrónico y contraseña en todas las cuentas creadas con ella. Después, revise si el número de teléfono, el nombre de usuario y las respuestas a las preguntas de seguridad se repiten en otros servicios. Como el servicio Liker está fuera de línea, quizá no sea posible cambiar directamente la configuración de la cuenta; por ello, aplique las medidas de protección a la cuenta de correo electrónico asociada y a las demás plataformas sociales. Aunque no encuentre ninguna coincidencia, este incidente demuestra el riesgo a largo plazo de dejar datos personales innecesarios en las redes sociales. Lo más recomendable es reducir el número de cuentas antiguas, utilizar contraseñas únicas, emplear respuestas aleatorias para las preguntas de seguridad y evitar compartir en mensajes privados información que pueda utilizarse para la autenticación.