LinkedIn Filtración de datos

Los tipos de datos que deben considerarse verificados son las direcciones de correo electrónico, los hashes SHA-1 sin sal de las contraseñas y los identificadores de miembros de LinkedIn. Una dirección de correo electrónico puede estar vinculada directamente con la identidad profesional de una persona y utilizarse en mensajes dirigidos específicamente a ella. El identificador de miembro es un identificador interno que permite vincular los datos con el perfil de una cuenta. Un hash de contraseña no es la forma legible de la contraseña; sin embargo, SHA-1 sin sal se considera actualmente un método de almacenamiento débil y aumenta especialmente el riesgo de que se descubran las contraseñas cortas o comunes mediante ataques contra sus hashes.

El riesgo más importante proviene de la reutilización de contraseñas. Si la misma contraseña antigua de LinkedIn también se ha utilizado para el correo electrónico, las cuentas de trabajo, las redes sociales, los foros, las cuentas vinculadas a pagos o los servicios en la nube, los atacantes pueden probar la misma combinación de correo electrónico y contraseña en otras pantallas de inicio de sesión. Al tratarse de una cuenta de una red profesional, los mensajes de phishing pueden parecer más convincentes: pueden utilizarse temas como ofertas de empleo falsas, solicitudes de contacto, mensajes de recursos humanos, archivos compartidos o alertas de seguridad de la cuenta. Los datos de tarjetas de pago y el contenido de mensajes privados no forman parte de las categorías de datos verificadas en este incidente.

La filtración está fechada en 2012; los datos adquirieron amplia visibilidad en mayo de 2016. La cifra de cuentas verificadas se mantiene en 164 611 595. En algunas noticias pueden aparecer cifras distintas, como 117 millones, 164 millones o 167 millones; esto se debe a los distintos segmentos de datos, a las fases iniciales de verificación y a las cifras redondeadas utilizadas en las noticias. La cifra verificada que se toma como referencia para las consultas de los usuarios es de 164 611 595 cuentas.

Los límites del alcance son claros. Los campos verificados que figuran en las notificaciones oficiales son la dirección de correo electrónico, el hash de contraseña y el identificador de miembro. No debe suponerse que en este incidente se filtraron todo el historial laboral visible en el perfil, las listas de contactos, los mensajes privados, la información de pago, los números de teléfono, las direcciones físicas o los documentos oficiales de identidad. El incidente debe evaluarse a partir de los datos de inicio de sesión de las cuentas y los identificadores internos, no de la totalidad de la información de los perfiles profesionales.

El grupo de mayor riesgo está formado por las personas que tenían una cuenta de LinkedIn antes de 2012 y que reutilizaron repetidamente en otras cuentas la contraseña que usaban en aquel momento. El riesgo es más pronunciado para quienes utilizan LinkedIn con su correo de trabajo, ya que esa misma dirección puede convertirse en un objetivo en las pantallas de inicio de sesión corporativas o en mensajes relacionados con el trabajo. Los directivos, los equipos de ventas, recursos humanos, finanzas, asesoría jurídica y tecnología, así como las personas con perfiles profesionales públicos, pueden recibir mensajes de ingeniería social dirigidos de forma más específica a estos grupos.

Los usuarios que hayan cambiado su contraseña después de 2012 pueden tener un riesgo menor en LinkedIn; sin embargo, la amenaza persiste si la misma contraseña antigua sigue activa en otros servicios. Si una contraseña antigua se utilizó en cuentas de correo personal, herramientas internas de la empresa o redes sociales, un atacante podría tener la oportunidad de acceder a varias cuentas a partir de un único conjunto de datos. Aunque la cuenta de LinkedIn ya no esté activa, la misma dirección de correo electrónico y la contraseña antigua pueden causar problemas de seguridad en otros servicios.

El primer paso es asegurarse de que la contraseña utilizada para LinkedIn en 2012 no siga activa en ninguna cuenta. Si se utiliza la misma contraseña o una similar en otros servicios, debe asignarse una contraseña única, larga y segura a cada cuenta. Debe activarse la autenticación de dos factores en la cuenta de LinkedIn y revisarse las sesiones activas y las aplicaciones conectadas. En las cuentas registradas con un correo de trabajo, las contraseñas corporativas y personales deben mantenerse estrictamente separadas.

Es necesario actuar con cautela ante los mensajes falsos relacionados con LinkedIn. Las invitaciones de contacto falsas, los archivos con ofertas de empleo, los formularios de recursos humanos, las alertas de restablecimiento de contraseña y los mensajes de verificación de cuentas pueden parecer más convincentes tras incidentes de este tipo. En lugar de hacer clic en el enlace, acceda directamente al servicio y compruebe la dirección del remitente y el historial de inicios de sesión. También deben cambiarse las contraseñas del correo electrónico, las redes sociales, el almacenamiento en la nube y las herramientas de trabajo en las que se haya utilizado la misma contraseña antigua.

A largo plazo, las contraseñas únicas, la verificación en dos pasos y las revisiones periódicas de sesiones son medidas de seguridad fundamentales para las cuentas de redes profesionales. Utilizar un gestor de contraseñas facilita la identificación de los servicios en los que se ha reutilizado una contraseña antigua de LinkedIn. Deben mantenerse separadas las contraseñas del correo de trabajo y de las cuentas personales, actualizarse las direcciones de correo de recuperación y activarse las notificaciones de seguridad. Deben eliminarse las conexiones innecesarias con terceros y cerrarse las sesiones de dispositivos antiguos.

Desde una perspectiva corporativa, el incidente de LinkedIn muestra que las cuentas de redes profesionales de los empleados pueden estar directamente relacionadas con la seguridad de la empresa. Las políticas que impiden la reutilización de contraseñas, la autenticación de dos factores, las alertas de inicios de sesión sospechosos y la concienciación de los empleados sobre el phishing deben abordarse de forma conjunta. Si la contraseña antigua de una cuenta externa coincide con la del correo de la empresa o la de una herramienta de trabajo, una sola filtración de datos puede convertirse en un riesgo corporativo. Por tanto, debe mantenerse de forma constante la separación de contraseñas entre las identidades personales y profesionales.

Si ve una coincidencia, es posible que su dirección de correo electrónico estuviera entre los datos de las 164 611 595 cuentas relacionadas con la filtración de datos de LinkedIn. Este resultado no significa que se hayan filtrado toda la información de su perfil o sus mensajes privados. Los campos de datos verificados son la dirección de correo electrónico, el hash de contraseña y el identificador de miembro. La primera comprobación consiste en determinar si la contraseña utilizada para LinkedIn en 2012 siguió utilizándose en otras cuentas.

Si su cuenta de LinkedIn está activa, cambie la contraseña por una única, active la autenticación de dos factores y revise las sesiones activas. Si ha utilizado la misma contraseña antigua en otros servicios, cámbiela también en esas cuentas. Si utiliza un correo de trabajo, compruebe además las contraseñas de las cuentas corporativas y preste atención a las alertas de inicios de sesión sospechosos. El enfoque adecuado ante este incidente no es amplificar afirmaciones no verificadas sobre los datos de los perfiles, sino reducir el riesgo persistente para la seguridad de las cuentas que generan las combinaciones de correo electrónico y contraseñas antiguas.