Filtración de datos de LiveAuctioneers

Los campos de datos de esta filtración permiten definir, en términos generales, el perfil de identidad y contacto de una cuenta de subastas. La dirección de correo electrónico y el nombre de usuario son los principales puntos de contacto para los intentos de acceso a la cuenta y los mensajes de phishing. El nombre completo, el número de teléfono y la dirección física pueden hacer más convincentes los intentos de fraude que se presentan como notificaciones de envío, facturas, recordatorios de pago o alertas de seguridad de la cuenta falsos, o como ofertas de artículos de colección de gran valor. Las direcciones IP también añaden riesgo al aportar información sobre la actividad de la cuenta y la ubicación aproximada.

El hecho de que los registros de contraseñas estén protegidos mediante valores hash MD5 sin sal aumenta el nivel de riesgo. MD5 se considera débil para el almacenamiento moderno de contraseñas; en particular, las contraseñas cortas, predecibles o presentes en otras filtraciones pueden descifrarse rápidamente. Si se reutiliza la misma contraseña en cuentas de correo electrónico, servicios de pago, redes sociales, plataformas de compraventa u otros sitios de subastas, un solo incidente de datos puede extenderse a varias cuentas. Los campos como la dirección física y el número de teléfono también pueden utilizarse en fraudes fuera de Internet, llamadas falsas sobre entregas y amenazas personalizadas.

El alcance verificado de este registro se basa en el incidente del 19 de junio de 2020 y en aproximadamente 3 385 862 cuentas. El aviso de LiveAuctioneers indica que un tercero no autorizado accedió a ciertos datos de las cuentas de usuario a través de un socio de procesamiento de datos. Las principales categorías de datos que deben mantenerse en el registro son direcciones de correo electrónico, direcciones IP, nombres, contraseñas, números de teléfono, direcciones físicas y nombres de usuario. Es posible que no todos estos campos estén presentes en cada cuenta; por tanto, la descripción no debe dar por hecho que todos los usuarios se vieron afectados por la exposición de cada campo de datos.

La principal limitación del alcance del incidente se refiere a los pagos y al historial de subastas. La notificación de la empresa indicó que no hay pruebas de que se haya accedido a números completos de tarjetas de pago y que no se cree que el historial de subastas se haya visto afectado. Por tanto, el registro debe mantenerse sin añadir una categoría de datos para números de tarjetas o historiales de subastas. El origen del incidente debe considerarse una vulnerabilidad de seguridad del proveedor, no un problema directamente relacionado con el proceso de subastas del servicio. Esta distinción identifica correctamente el ámbito de riesgo sin generar una alarma innecesaria entre los usuarios.

El mayor riesgo corresponde a las personas que reutilizan en otros servicios la contraseña de su cuenta de LiveAuctioneers. Cabe esperar intentos automatizados de acceso a las cuentas, especialmente si la misma combinación de correo electrónico y contraseña también se utiliza en cuentas de correo electrónico, servicios de pago no bancarios, redes sociales, otras plataformas de compraventa, servicios de envío o sitios de subastas. Los usuarios que compran artículos de colección, antigüedades, joyas u obras de arte también pueden convertirse en objetivos más atractivos para el fraude dirigido, porque su nombre, número de teléfono, dirección e interés en la plataforma pueden utilizarse de forma conjunta.

Los usuarios cuya dirección física y número de teléfono figuren en los registros deben estar atentos no solo a las amenazas en línea, sino también a las solicitudes fraudulentas que reciban por teléfono y correo postal. Los atacantes pueden fingir que tienen una cuenta de subastas legítima y ponerse en contacto con los usuarios con el pretexto de confirmar un pago, cobrar gastos de envío o cargos aduaneros, o verificar una cuenta. La información adicional, como la dirección IP y el nombre de usuario, puede ayudar a personalizar el ataque. Las personas que ya no utilizan sus cuentas antiguas también están en riesgo, ya que las contraseñas antiguas pueden seguir utilizándose en otras cuentas durante años.

Si su dirección de correo electrónico aparece en este registro, compare primero la contraseña antigua de su cuenta de LiveAuctioneers con las de sus otras cuentas. Si utiliza la misma contraseña o una similar en otro servicio, establezca una contraseña nueva, larga y única para cada cuenta. Dé prioridad a las cuentas de correo electrónico, los servicios de pago, las plataformas de compraventa, las redes sociales y los servicios de envío. Un gestor de contraseñas facilita la detección de contraseñas repetidas y la generación de contraseñas seguras para cada cuenta.

Revise el historial de sesiones, las direcciones registradas, los números de teléfono y la información de recuperación de su cuenta de LiveAuctioneers. Active la autenticación de dos factores en las cuentas que la admitan, cierre las sesiones de dispositivos desconocidos y no haga clic en enlaces sospechosos recibidos por correo electrónico o SMS. Examine con atención los mensajes relacionados con subastas, entregas, pagos, envíos, seguridad de la cuenta u ofertas especiales. Aunque el número completo de la tarjeta no figure entre las categorías de datos verificadas de este registro, los usuarios deben revisar sus estados de cuenta y transacciones para detectar actividad inusual.

Este incidente demuestra que las cuentas de subastas y de plataformas de compraventa son valiosas no solo por su historial de compras, sino también por la información de identidad y contacto que contienen. A largo plazo, las contraseñas únicas para cada servicio, la autenticación de dos factores, la revisión periódica de las sesiones y el cierre de cuentas innecesarias son las medidas básicas de defensa. Los usuarios deben reducir al mínimo las direcciones y los números de teléfono registrados en cuentas de subastas antiguas, cerrar las cuentas que ya no utilicen y evitar reutilizar el mismo nombre de usuario en distintos servicios de forma que se creen vínculos innecesarios.

Por parte del proveedor del servicio, son fundamentales la limitación del acceso de los proveedores, el uso de algoritmos sólidos de hash de contraseñas, la supervisión de eventos, las auditorías de seguridad periódicas y la notificación rápida a los usuarios. Para el usuario, el riesgo no termina al cambiar la contraseña de una sola cuenta; cuando se consideran conjuntamente la dirección de correo electrónico, el número de teléfono, la dirección física y el nombre de usuario, la amenaza de ingeniería social puede persistir durante mucho tiempo. Por ello, los usuarios deben revisar periódicamente la seguridad de sus cuentas y tener en cuenta que los datos de filtraciones antiguas podrían reutilizarse en nuevos mensajes fraudulentos.

Si obtiene un resultado positivo en LeakData para LiveAuctioneers, este registro está relacionado con el incidente de datos de cuentas ocurrido a través del socio de procesamiento de datos el 19 de junio de 2020. La primera medida es identificar la dirección de correo electrónico afectada y la contraseña antigua utilizada en la cuenta de LiveAuctioneers. A continuación, debe elaborar una lista de todas las cuentas en las que se haya podido utilizar la misma contraseña, establecer una contraseña nueva y única para cada una y activar la autenticación de dos factores siempre que sea posible. Es preferible utilizar contraseñas completamente distintas en lugar de hacer pequeños cambios en las anteriores.

En la siguiente revisión, centre su atención en los intentos de fraude dirigido que puedan utilizar su número de teléfono, dirección y nombre completo. Compruebe los mensajes de supuesto soporte técnico, los resultados de subastas falsos, las solicitudes para completar pagos, los cobros de gastos de entrega o las notificaciones de seguridad de la cuenta accediendo directamente al sitio oficial. En este registro, las categorías de datos verificadas son direcciones de correo electrónico, direcciones IP, nombres, contraseñas, números de teléfono, direcciones físicas y nombres de usuario; no deben añadirse números de tarjetas de pago ni historiales de subastas.