Filtración de datos de Lumin PDF de 2019

El conjunto de datos verificado contenía tokens de autenticación, direcciones de correo electrónico, géneros, nombres, contraseñas, idiomas hablados y nombres de usuario. Las 15 453 048 cuentas únicas corresponden al conjunto de datos sin duplicados en el que se pueden realizar búsquedas; según la información publicada, el archivo compartido públicamente contenía aproximadamente 24,3 millones de filas, por lo que las dos cifras no deben utilizarse indistintamente. La mayoría de los registros contenían un token de acceso asociado a la conexión de Lumin PDF con Google Drive, mientras que 118 746 cuentas creadas directamente en Lumin contenían hashes de contraseñas generados con bcrypt. No debe darse por hecho que cada fila incluía tanto una contraseña como un token. La empresa afirmó que los tokens de Google filtrados habían caducado en el momento del incidente y no podían dar acceso a los documentos ni a las firmas de los usuarios. Se trataba de una afirmación de la empresa que el medio que informó sobre el incidente no verificó de forma independiente.

Según la información publicada, en abril de 2019 una base de datos de Lumin PDF quedó accesible en internet sin protección mediante contraseña y se extrajeron datos de ella. En septiembre de 2019, la información de los usuarios se puso a disposición para su descarga en un foro delictivo; unos periodistas obtuvieron una copia y comprobaron su autenticidad con varios usuarios de Lumin PDF. Tras la publicación de la información inicial, Lumin PDF investigó y confirmó que el material contenía parte de los datos de sus usuarios. La base de datos expuesta contenía aproximadamente 24,3 millones de filas, mientras que el recuento de referencia sin duplicados es de 15 453 048. La empresa sostuvo que los tokens de acceso de Google no eran válidos; el medio indicó que no podía verificar esa afirmación de forma independiente y que Google estaba investigando. No se determinó cuánto tiempo duró exactamente la exposición ni si todas las filas se obtuvieron al mismo tiempo, por lo que no debe deducirse ningún mecanismo adicional.

Quienes crearon una cuenta directamente en Lumin PDF con una contraseña corren el riesgo de que alguien tome el control de ella, especialmente si reutilizaron esa contraseña en su correo electrónico o en otro servicio. Bcrypt ralentiza los intentos de adivinar contraseñas sin conexión, pero no impide que se adivinen las contraseñas cortas, comunes o filtradas anteriormente. Para los usuarios que iniciaron sesión con Google, el riesgo depende de si un token de acceso era válido en ese momento y de los permisos que tenía. Aunque la empresa afirmó que los tokens habían caducado, revisar el acceso de las aplicaciones de terceros sigue siendo una medida prudente. Los nombres, las direcciones de correo electrónico, los nombres de usuario, los géneros y la configuración de idioma pueden servir para elaborar mensajes convincentes sobre documentos compartidos, solicitudes de firma, facturas, invitaciones para colaborar o seguridad de la cuenta. Una coincidencia de correo electrónico no demuestra que se haya recuperado una contraseña, que se haya accedido a una cuenta de Google ni que se haya visualizado ningún documento PDF.

Si se registró directamente en Lumin PDF con una contraseña, cámbiela y cambie también las credenciales de todas las demás cuentas en las que utilice la misma contraseña o una similar. Proteja su buzón principal con una contraseña única y autenticación multifactor, ya que allí llegan la mayoría de los mensajes para restablecer contraseñas. Acceda a los permisos de las aplicaciones de terceros en su cuenta de Google, revise los permisos concedidos a Lumin PDF y retire el acceso si ya no utiliza el servicio. Si sigue utilizándolo, revocar el permiso y volver a conectar a través de la aplicación oficial puede ayudar a invalidar un token antiguo. Revise las sesiones de Google que no reconozca, los eventos de seguridad y los dispositivos conectados. No siga enlaces inesperados sobre documentos compartidos, firmas electrónicas, facturas o límites de almacenamiento; acceda a Lumin PDF y Google Drive a través de sus dominios conocidos. Nunca facilite una contraseña, un token de acceso ni un código de un solo uso en una llamada o un mensaje de soporte técnico.

Utilice un gestor de contraseñas para generar una contraseña larga y única para cada servicio, de modo que la recuperación de una contraseña a partir de un hash bcrypt no ponga en riesgo otras cuentas. Dé preferencia a las claves de acceso o a la autenticación multifactor resistente al phishing en los servicios de correo electrónico y almacenamiento en la nube. Revise periódicamente los permisos de las aplicaciones de terceros en sus cuentas de Google, Microsoft y servicios similares; elimine las conexiones que no utilice y conceda únicamente los permisos mínimos necesarios. Revise la configuración de acceso, los permisos de los enlaces y las listas de colaboradores de los documentos compartidos. Las organizaciones deben proteger las bases de datos accesibles desde internet mediante autenticación, listas de acceso permitido a la red y cortafuegos, mantener las copias de seguridad en entornos con controles de acceso separados y realizar análisis de sus activos externos. Los tokens OAuth deben tener privilegios mínimos, periodos de validez cortos y rotación, además de un mecanismo de revocación masiva tras un incidente. No confíe en un remitente solo porque conozca un nombre de archivo auténtico o un dato real de un usuario.

Utilice el campo de búsqueda seguro de esta página para comprobar todas las direcciones de correo electrónico, actuales y antiguas, que haya podido utilizar con Lumin PDF. Una coincidencia significa que la dirección aparece entre las 15 453 048 cuentas únicas verificadas; no revela si la fila contenía un hash de contraseña generado con bcrypt o un token de acceso de Google, no demuestra que un token fuera válido ni indica que se hayan expuesto documentos. Si obtiene un resultado, determine si utilizó una contraseña para registrarse directamente, deje de reutilizar esa contraseña en cualquier cuenta donde aún lo haga y revise el acceso de las aplicaciones de terceros en su cuenta de Google. Si reutilizó el mismo nombre de usuario en otros servicios, manténgase alerta ante el phishing y la vinculación de perfiles. Nunca introduzca una contraseña, un token de acceso, un código de un solo uso ni el contenido de un documento en el campo de búsqueda. La ausencia de resultados no constituye una garantía absoluta, ya que podría haber una dirección distinta, un registro fuera de este conjunto de datos u otro incidente que le afecte. Acceda directamente al dominio conocido del servicio en lugar de utilizar enlaces incluidos en avisos sospechosos sobre documentos o firmas.