Presunta exposición de datos de Lyf App

Los tipos de datos observados en este registro son direcciones de correo electrónico, nombres, nombres de usuario, ubicación geográfica o información del país, fechas de nacimiento y contraseñas. En algunos registros, el campo de contraseña aparece en forma de hash; no se afirmó que hubiera contraseñas en texto plano. Estos campos se evaluaron por separado; no se añadieron a la lista de categorías de datos tarjetas de pago, cuentas bancarias, documentos oficiales de identidad, mensajes privados, historiales médicos ni campos de perfil adicionales que no estuvieran verificados.

Por el contexto de salud mental y apoyo personal, el mero hecho de vincular la pertenencia a la plataforma con un correo electrónico, un nombre o un nombre de usuario supone un riesgo para la privacidad. Una dirección de correo electrónico por sí sola genera un riesgo de mensajes no deseados y suplantación de identidad; si se combina con el nombre, el número de teléfono, la dirección, la IP, la fecha de nacimiento o la información profesional, facilita que un atacante prepare un mensaje más personalizado. Por ello, la evaluación del riesgo no se basó solo en el número de registros, sino también en las posibilidades de uso conjunto de los campos.

El alcance del registro actual se mantuvo en 226 219 cuentas, sin sumar los distintos recuentos disponibles públicamente para formar un único total. Se excluyeron los campos no verificados y se conservaron los campos de datos verificados. De este modo, se informa al usuario sobre el registro actual sin alarmarlo en exceso, pero tampoco se subestima el riesgo real.

No se añadieron a las categorías de datos campos como la identidad en redes sociales, la fecha y hora del incidente o el contenido privado, porque no se verificaron de manera consistente. Si había otros incidentes con nombres similares al de este registro, no se agruparon como un único incidente de gran alcance. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron en el contexto más acotado posible sin perder precisión; esto evita añadir brechas duplicadas o asociadas incorrectamente.

Entre los grupos de usuarios que podrían estar en riesgo se encuentran quienes hayan abierto una cuenta de Lyf App, se hayan unido a comunidades de apoyo o hayan compartido experiencias personales. Los usuarios para los que se haya encontrado una coincidencia deben tener en cuenta no solo la cuenta del servicio correspondiente, sino también otras cuentas que utilicen el mismo correo electrónico, nombre de usuario o patrón de contraseña.

El riesgo de vincular una identidad real con un seudónimo aumenta para quienes utilizan el mismo nombre de usuario en distintas plataformas de carácter sensible. Para quienes se registran con una dirección de correo electrónico corporativa, el riesgo puede ir más allá de la cuenta individual; los atacantes pueden utilizar información como el nombre, el cargo, el número de teléfono, la dirección, las compras, el identificador de videojuegos o el perfil profesional para enviar mensajes más convincentes. Por ello, los usuarios no deben considerar que una coincidencia sea un problema exclusivo de un solo sitio.

Los usuarios afectados deben cambiar su contraseña de Lyf App y las de otras cuentas que utilicen la misma contraseña, y activar la verificación en dos pasos en sus cuentas de correo electrónico y redes sociales. Si el registro contiene un campo de contraseña, deben actualizarse todas las cuentas que utilicen esa misma contraseña; si no lo contiene, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono y las notificaciones falsas. En ambos casos, la cuenta de correo electrónico debe protegerse con una contraseña segura y única.

En lugar de hacer clic en los enlaces de un mensaje, se debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No se deben dar por válidos, sin verificarlos por un canal independiente, mensajes como códigos de verificación recibidos por teléfono, solicitudes de restablecimiento de contraseña o notificaciones de envíos, ofertas de empleo, asistencia, suscripciones o seguridad.

En las aplicaciones que tratan temas sensibles, conviene limitar al mínimo el uso del nombre real, la fecha de nacimiento, la ubicación y los nombres de usuario que se reutilizan. Se deben revisar periódicamente las cuentas antiguas, los campos de teléfono y dirección que ya no se utilizan, los nombres de usuario recurrentes y los patrones de contraseña idénticos, y eliminar lo que no sea necesario. Los usuarios deben utilizar una contraseña única para cada servicio y activar la verificación en dos pasos siempre que sea posible.

Para los proveedores de servicios, limitar al mínimo la conservación de datos, proteger de forma sólida las contraseñas, supervisar los registros de acceso, eliminar los campos de perfil innecesarios y notificar a los usuarios después de una brecha son requisitos básicos. En las aplicaciones relacionadas con la salud mental, la minimización de datos y la información clara al usuario son elementos esenciales para generar confianza. En estos casos, comunicar el alcance con precisión es tan importante como la corrección técnica; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

El usuario debe consultar primero este registro con su dirección de correo electrónico. Si se encuentra una coincidencia, debe considerar que los campos de nombre, nombre de usuario, fecha de nacimiento, ubicación y contraseña pueden estar en riesgo, y dejar de reutilizar contraseñas en aplicaciones de carácter sensible. La ausencia de una coincidencia no descarta por completo la reutilización de contraseñas antiguas ni el uso de distintos correos electrónicos asociados al mismo servicio; por ello, las cuentas críticas deben revisarse por separado.

Este registro se mantuvo como sensible, pero no verificado; el texto se editó para que los campos ambiguos no se presentaran como afirmaciones categóricas. En esta edición, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco y conservó su forma original, no se incluyeron campos no verificados y el indicador de sensibilidad se utilizó únicamente cuando el contexto de riesgo lo justificaba.