Filtración de datos de MacGeneration

Los tipos de datos verificados en este registro son direcciones de correo electrónico, nombres de usuario y hashes de contraseñas. Las direcciones de correo electrónico pueden utilizarse para enviar alertas de seguridad dirigidas a usuarios concretos, notificaciones falsas del foro o mensajes falsos de renovación de cuentas. Los nombres de usuario entrañan un riesgo de vinculación de perfiles, especialmente para quienes utilizan el mismo alias en distintas comunidades tecnológicas. Dado que las contraseñas no se almacenan en texto sin formato, sino como hashes SHA-512 con sal, es importante describir el riesgo con precisión: no se debe afirmar que las contraseñas sean directamente legibles, sino destacar la posibilidad de que se descifren contraseñas débiles o reutilizadas y se prueben en otros servicios.

El uso de hashes reduce el riesgo, pero no lo elimina por completo. Las contraseñas cortas, predecibles o presentes en otras filtraciones pueden descifrarse con mayor rapidez. Si se utiliza la misma contraseña en otra cuenta, los atacantes podrían probar esta información en cuentas de correo electrónico, redes sociales, foros de desarrolladores, tiendas de tecnología o servicios en la nube. La combinación del correo electrónico y el nombre de usuario puede hacer más convincentes las notificaciones falsas de MacGeneration, las suscripciones falsas a Club, las respuestas falsas a comentarios o los mensajes falsos de comprobación de seguridad.

El alcance verificado del registro de MacGeneration corresponde a la filtración de datos de cuentas del 29 de enero de 2022. El registro se añadió a las listas de filtraciones verificadas el 3 de marzo de 2022 y se actualizó poco después. Las categorías de datos verificados deben limitarse a Direcciones de correo electrónico, Contraseñas y Nombres de usuario. El campo de contraseña contiene hashes SHA-512 con sal. Por tanto, no se puede afirmar de forma concluyente que se hayan filtrado datos de tarjetas de pago, cuentas bancarias, números de teléfono, direcciones físicas, documentos de identidad, datos de salud, contenido de mensajes privados o datos de dispositivos.

El informe del incidente publicado por la propia entidad indica que el ataque se dirigió contra los sistemas de MacGeneration, que se explotó una vulnerabilidad en un módulo de terceros y que se accedió al servidor de la base de datos. El mismo comunicado también señala que la información de las cuentas se vio afectada y que se aplicarán medidas de reducción de datos para las cuentas antiguas o sin uso. Esta información exige tratar el registro como un incidente relacionado con las cuentas de un sitio de noticias y su comunidad. Las afirmaciones de mayor alcance, como las relativas a pérdidas económicas o al acceso no autorizado a cuentas de Apple, quedan fuera del alcance verificado.

Las personas con mayor riesgo son aquellas que han abierto una cuenta en MacGeneration o en comunidades relacionadas con Mac/iPhone y han reutilizado el mismo nombre de usuario y la misma contraseña en otros sitios. Quienes llevan mucho tiempo utilizando el mismo alias en foros de tecnología están más expuestos a que se vinculen sus perfiles en distintos sitios. También están en riesgo los usuarios que han olvidado sus cuentas antiguas, no han cambiado su dirección de correo electrónico o no utilizan un gestor de contraseñas. Debe darse prioridad a estas cuentas, especialmente si se ha utilizado la misma contraseña para la cuenta principal de correo electrónico o para cuentas de redes sociales.

Los desarrolladores, periodistas, entusiastas de la tecnología y profesionales que trabajan con productos de Apple y siguen el contenido de MacGeneration también deben extremar la precaución ante los mensajes dirigidos específicamente a ellos. Los atacantes podrían intentar ganarse su confianza recurriendo a noticias sobre Apple, pruebas de aplicaciones, campañas de dispositivos, respuestas en foros o renovaciones de suscripciones. Aunque este registro sea antiguo, el riesgo de phishing persiste si la dirección de correo electrónico y el nombre de usuario no han cambiado. El uso de contraseñas antiguas en otras cuentas también aumenta el riesgo de que los atacantes tomen el control de varias cuentas en cadena.

Quienes encuentren una coincidencia con MacGeneration deben comprobar primero si utilizan la contraseña de esa cuenta en otras cuentas. Si usan la misma contraseña o una similar en otros servicios, deben optar por contraseñas nuevas y únicas, especialmente para las cuentas de correo electrónico, redes sociales, servicios para desarrolladores, almacenamiento en la nube y compras. No basta con cambiar unos pocos caracteres; cada servicio debe tener una contraseña completamente distinta. Revise el historial de inicios de sesión, la dirección de recuperación y la configuración de reenvío de su cuenta principal de correo electrónico.

Active la verificación en varios pasos en los servicios que la admitan. No haga clic directamente en los enlaces de mensajes sobre MacGeneration, MacG, iGeneration, noticias de Apple, comentarios en foros, suscripciones o seguridad de la cuenta; acceda por su cuenta al sitio correspondiente desde el navegador. Aunque un mensaje sospechoso identifique correctamente su antiguo nombre de usuario o su cuenta de MacGeneration, eso por sí solo no demuestra que sea seguro. Compruebe cuidadosamente la dirección del remitente y el dominio de los mensajes inesperados de restablecimiento de contraseña, las advertencias de bloqueo de cuentas y las solicitudes falsas de asistencia.

Este registro muestra que incluso las cuentas que parecen de bajo riesgo, como las de sitios de noticias o foros, pueden tener consecuencias graves si se reutilizan contraseñas. A largo plazo, el uso de un gestor de contraseñas facilita la creación de contraseñas seguras y únicas para cada cuenta. También es importante revisar periódicamente los alias y las direcciones de correo electrónico utilizados en comunidades tecnológicas. Cerrar cuentas innecesarias, dar de baja antiguas cuentas de foros y desvincular las direcciones de correo electrónico sin uso de las cuentas críticas reduce la superficie de ataque.

Separar sus direcciones de correo electrónico según su finalidad proporciona una protección duradera. Utilizar la cuenta principal de correo electrónico solo para servicios críticos y una dirección distinta para registrarse en foros y sitios de noticias reduce el riesgo de ataques dirigidos. Mantenga activadas las notificaciones de seguridad y revise periódicamente las cuentas antiguas. Aunque las contraseñas se almacenen como hashes, las contraseñas débiles siguen siendo un riesgo; por ello, es necesario comprobar regularmente su seguridad y si se reutilizan. Estos hábitos limitan el riesgo de que filtraciones antiguas permitan tomar el control de cuentas en la actualidad.

Una coincidencia en el registro de MacGeneration indica que la dirección de correo electrónico, el nombre de usuario o el hash de contraseña SHA-512 con sal del usuario podrían haber estado implicados en el incidente de 2022. Este resultado no significa que se hayan filtrado datos de pago, documentos de identidad, números de teléfono o información de salud. Las medidas del usuario deben centrarse en la seguridad de la cuenta: identificar los servicios en los que utiliza la misma contraseña, cambiar esas contraseñas, activar la verificación en varios pasos en las cuentas importantes y cerrar las sesiones antiguas.

Tras la comprobación, busque en su cuenta de correo electrónico los mensajes de registro de MacGeneration y las notificaciones antiguas del foro. Enumere las demás comunidades tecnológicas en las que utiliza el mismo nombre de usuario. Antes de abrir alertas de seguridad sospechosas, acceda al sitio escribiendo usted mismo la dirección. Si su correo electrónico de trabajo o su cuenta de desarrollador aparece en este registro, informe al equipo de seguridad de su organización. La respuesta más adecuada ante este registro es dejar de reutilizar contraseñas, revisar y cerrar cuentas antiguas innecesarias y extremar la precaución ante los mensajes de phishing de temática tecnológica.