Filtración de datos de MangaDex

Las direcciones de correo electrónico que figuran en el registro de MangaDex pueden utilizarse para enviar mensajes de phishing dirigidos y alertas de cuenta falsas. Los nombres de usuario facilitan la vinculación de distintos perfiles si se utiliza el mismo alias en otros sitios. Las direcciones IP no proporcionan una dirección de domicilio exacta, pero pueden ofrecer pistas sobre la zona aproximada de conexión, el proveedor de servicios de internet y el historial de sesiones. Al combinar estos campos, los atacantes pueden crear mensajes de soporte, alertas de seguridad de la cuenta o intentos de suplantación de identidad más convincentes dentro de la comunidad.

El campo de contraseña requiere especial atención. La información verificada indica que las contraseñas se almacenan como valores hash mediante bcrypt. Esto ofrece una mayor protección que las filtraciones de contraseñas en texto plano, pero las contraseñas débiles, cortas o comprometidas anteriormente siguen estando en riesgo. Si se utiliza la misma contraseña en otras cuentas, los atacantes pueden intentar iniciar sesión en otros servicios con combinaciones de direcciones de correo electrónico y nombres de usuario. Por tanto, no debe considerarse que el riesgo se limita a la cuenta de MangaDex.

El alcance verificado comprende 2 987 329 cuentas afectadas, una fecha de filtración del 22 de marzo de 2021, una fecha de incorporación del 25 de abril de 2021 y cuatro tipos de datos: direcciones de correo electrónico, direcciones IP, nombres de usuario y valores hash de contraseñas. Los datos de tarjetas de pago, números de teléfono, direcciones físicas, nombres reales, documentos de identidad, fechas de nacimiento o datos de salud no figuran como campos verificados en este registro. Por ello, el riesgo que se comunique al usuario debe centrarse en la seguridad de las cuentas, la vinculación de perfiles, el phishing y la reutilización de contraseñas.

Lo ocurrido en MangaDex se aclaró después de que se determinara que la base de datos de usuarios había circulado entre actores de amenazas tras el ataque. Las fuentes verificadas indican que los nombres de usuario de los miembros, sus direcciones de correo electrónico, sus últimas direcciones IP conocidas y los campos de contraseñas protegidos mediante funciones hash seguras podrían haber quedado expuestos. No obstante, no debe concluirse que la contraseña real de cada usuario pudiera leerse directamente. Lo más adecuado es cambiar todas las contraseñas reutilizadas, teniendo en cuenta la posibilidad de que puedan descifrarse.

Los usuarios con mayor riesgo son quienes reutilizan la contraseña de su cuenta de MangaDex en otros servicios. Quienes crean cuentas en foros, servicios de videojuegos, plataformas de transmisión de contenido, redes sociales o servicios de correo electrónico con la misma dirección de correo y el mismo nombre de usuario también aumentan el riesgo de vinculación de perfiles. Es habitual mantener el mismo seudónimo durante mucho tiempo en las plataformas comunitarias; esto puede ayudar a los atacantes a vincular distintas cuentas con una sola persona. En particular, las contraseñas antiguas y cortas, las que contienen palabras del diccionario y las que ya se han filtrado en otros sitios presentan un riesgo elevado.

Para los usuarios cuya dirección IP está incluida, el riesgo se relaciona más con la privacidad y la posibilidad de convertirse en objetivo de ataques. Una dirección IP por sí sola no revela toda la identidad, pero, combinada con una dirección de correo electrónico y un nombre de usuario, puede ofrecer pistas sobre los hábitos de conexión del usuario. Las personas activas en comunidades de manga o de intereses similares pueden recibir mensajes falsos de moderadores, solicitudes falsas de verificación de cuentas o mensajes privados con enlaces. Por ello, conviene revisar con cuidado no solo la bandeja de entrada del correo electrónico, sino también las notificaciones y los mensajes privados de las cuentas en comunidades.

Si su cuenta de MangaDex aparece en este registro, el primer paso es sustituir la contraseña que utiliza en MangaDex y en cualquier otra cuenta que comparta esa contraseña por contraseñas únicas. El mejor método es generar contraseñas largas y aleatorias para cada servicio mediante un gestor de contraseñas. Dé prioridad a la revisión de su cuenta de correo electrónico, sus cuentas de redes sociales y videojuegos, y los servicios vinculados a pagos. También debe revisar el historial de inicio de sesión, las sesiones desconocidas, las direcciones de recuperación añadidas recientemente y las notificaciones de seguridad inesperadas de sus cuentas.

Active la verificación en dos pasos en los servicios que la ofrezcan. La cuenta de correo electrónico es especialmente importante porque muchos servicios gestionan el restablecimiento de contraseñas por esa vía. En lugar de hacer clic directamente en avisos de seguridad que utilicen nombres como MangaDex o los de comunidades similares, abra usted mismo el sitio correspondiente y compruebe el estado de inicio de sesión. No responda a solicitudes de contraseñas, códigos de recuperación o información de seguridad adicional que reciba por mensajes privados o correo electrónico.

Para protegerse a largo plazo, resulta útil utilizar nombres de usuario, direcciones de correo electrónico y contraseñas diferentes según la finalidad de cada cuenta. Puede reservar la cuenta de correo principal para los servicios críticos y utilizar una dirección distinta para las cuentas de comunidades y aficiones. No utilizar el mismo alias en todas partes dificulta la vinculación de distintos perfiles. Un gestor de contraseñas facilita la detección de contraseñas reutilizadas y la generación de contraseñas seguras para cada cuenta.

Conviene revisar periódicamente las cuentas antiguas de comunidades. Cierre las cuentas que ya no utilice, evite conservar información personal innecesaria en las cuentas activas y mantenga actualizados los métodos de inicio de sesión. Dado que campos como la dirección IP y el nombre de usuario pueden utilizarse para vincular perfiles incluso años después, el impacto de las filtraciones antiguas no desaparece por completo con el tiempo. Por ello, tras incidentes como el de MangaDex, no debe considerarse suficiente cambiar la contraseña una sola vez; los hábitos regulares de seguridad de las cuentas deben mantenerse de forma permanente.

Si encuentra una coincidencia en el registro de la filtración de MangaDex, primero haga una lista de las cuentas creadas con su dirección de correo electrónico afectada. Después, determine en qué servicios ha utilizado la misma contraseña o una similar y empiece por cambiar las contraseñas de las cuentas más críticas. Si utiliza su nombre de usuario en otras plataformas, evalúe si la vinculación de esos perfiles supone un riesgo para su privacidad. Cierre las sesiones antiguas, actualice las opciones de recuperación y mantenga activadas las alertas de seguridad.

Este registro no debe considerarse una filtración de nombres reales, datos de tarjetas de pago o direcciones físicas; se basa en una combinación de datos verificados que suponen un riesgo: correo electrónico, dirección IP, nombre de usuario y valor hash de contraseña. Las medidas más adecuadas para los usuarios que encuentren coincidencias son establecer contraseñas únicas, reforzar la seguridad de la cuenta de correo electrónico y desconfiar de los mensajes falsos de soporte. Aunque la filtración de MangaDex es antigua, el riesgo puede persistir hoy si se ha reutilizado la misma contraseña durante años.