Filtración de datos de MangaToon

Las direcciones de correo electrónico, los nombres y los nombres de usuario pueden facilitar el phishing dirigido o los intentos de vincular cuentas, mientras que los datos de género, los avatares y las identidades de los perfiles en redes sociales pueden ayudar a personalizar los mensajes. Se confirmó que las contraseñas se almacenaban como hashes MD5 con sal. El uso de sal evita que contraseñas idénticas produzcan el mismo hash, pero MD5 no es un algoritmo moderno de hash de contraseñas diseñado para ser lento, por lo que las contraseñas débiles siguen siendo vulnerables a intentos de averiguarlas sin conexión. Los tokens de autenticación obtenidos al iniciar sesión mediante redes sociales no son contraseñas y no se divulgaron sus períodos de validez, pero los tokens que estaban activos cuando fueron robados podrían haber supuesto un riesgo adicional para las sesiones. La categoría de datos de perfiles en redes sociales se refiere a las identidades de las cuentas; no demuestra que se hayan expuesto mensajes privados ni contraseñas de redes sociales.

La fecha de referencia del incidente es el 13 de mayo de 2022. Según los informes técnicos, el atacante accedió a un servidor Elasticsearch de MangaToon con una credencial fácil de adivinar, y se alegó que la contraseña era literalmente «password». Según lo publicado, la credencial del servidor se cambió después de que el atacante avisara a la empresa, pero los múltiples intentos de contactar con ella y obtener una respuesta para los usuarios no recibieron contestación. También se comprobaron las muestras de cuentas compartidas con un medio de comunicación y se confirmó su validez en la plataforma. En julio de 2022 se añadieron más de 23 millones de registros a un directorio de filtraciones verificadas. La información pública no permite determinar durante cuánto tiempo estuvo accesible la base de datos, si los tokens estaban activos en ese momento o si todos los registros contenían todos los campos, por lo que estos aspectos no deben presentarse como ciertos.

Las personas que reutilizaron su contraseña de MangaToon en otros servicios y quienes iniciaron sesión mediante una cuenta de una red social afrontan el riesgo más directo. Una contraseña recuperada puede facilitar intentos de acceso automatizados con credenciales reutilizadas contra servicios de correo electrónico, redes sociales u otros servicios de entretenimiento que acepten esas mismas credenciales. Para los usuarios cuyos tokens de inicio de sesión mediante redes sociales estaban presentes, cambiar la contraseña puede no ser suficiente; también es necesario revisar los permisos de las aplicaciones conectadas y las sesiones activas. Combinar un nombre, una dirección de correo electrónico, datos de género, un avatar y la identidad de un perfil en redes sociales puede hacer más convincentes los mensajes falsos de soporte o las promociones relacionadas con MangaToon. No debe darse por hecho que todos los campos aparezcan en los 23 040 238 registros, ni que los tokens sigan siendo válidos hoy. Los datos de pago y de direcciones físicas quedan fuera del alcance verificado, por lo que las afirmaciones sobre fraude financiero no pueden atribuirse directamente a este incidente.

Sustituya la contraseña de MangaToon por una contraseña larga y única, y cree credenciales distintas en cada servicio donde haya utilizado la misma contraseña o una similar. Active la autenticación multifactor en la cuenta de correo electrónico y en la cuenta de la red social asociadas. Si inició sesión mediante una red social, revise la lista de aplicaciones conectadas del proveedor, revoque el acceso de MangaToon, considere volver a conectarlo únicamente a través de la aplicación o del sitio web oficiales, cierre las sesiones existentes y revise los inicios de sesión que no reconozca. No siga enlaces en mensajes inesperados relacionados con MangaToon que ofrezcan restablecimientos de contraseña, tokens gratuitos, suscripciones o desbloqueos de contenido. Si el correo electrónico del perfil, el nombre de usuario, el avatar o la cuenta de la red social conectada cambiaron sin su permiso, contacte con el servicio de soporte por un canal oficial. Nunca introduzca una contraseña ni el valor de un token en un formulario de búsqueda de filtraciones o en un sitio web de terceros.

Un gestor de contraseñas que genere una contraseña distinta para cada servicio evita que una filtración antigua afecte a otras cuentas. Iniciar sesión mediante redes sociales puede resultar cómodo, pero conviene depurar periódicamente las listas de aplicaciones conectadas y revocar las sesiones que no se utilicen. Como el correo electrónico es el punto central de recuperación de muchas cuentas, protéjalo con una contraseña única lo más robusta posible y autenticación multifactor. Si ya no necesita su cuenta de MangaToon, consulte las opciones de eliminación o cierre por los canales oficiales. Para los operadores de servicios, las medidas de protección duraderas incluyen mantener las interfaces de administración fuera de la internet pública, utilizar credenciales de servicio robustas y únicas, restringir el acceso a la red, aplicar algoritmos modernos de hash de contraseñas, limitar la duración de los tokens, supervisar las anomalías y mantener un proceso claro de notificación de incidentes.

Busque su dirección de correo electrónico en LeakData para comprobar si aparece en los registros de la filtración de MangaToon. Consulte únicamente una dirección que le pertenezca o que esté autorizado a revisar. Una coincidencia significa que la dirección aparece en el conjunto de datos verificado; no demuestra que se haya recuperado la contraseña, que un token de una red social siga siendo válido ni que alguien haya tomado el control de la cuenta. Un resultado sin coincidencias no debe llevarle a descartar un aviso de seguridad fiable recibido por otro canal. Si hay una coincidencia, sustituya primero las contraseñas reutilizadas y después revise las aplicaciones de redes sociales conectadas, las sesiones activas y la configuración de recuperación de la cuenta.