Filtración de datos de Mappery

Las direcciones de correo electrónico visibles en los registros de Mappery pueden utilizarse para enviar alertas falsas sobre cuentas, notificaciones de descarga de mapas y mensajes de phishing dirigidos. Los nombres de usuario pueden permitir vincular perfiles si se usa el mismo alias en otros sitios. El campo de ubicación geográfica puede dar pistas sobre los lugares que interesan al usuario o la región asociada a su cuenta. Esta información por sí sola no equivale a una dirección completa, pero, combinada con otros campos, aumenta el riesgo para la privacidad.

Los hashes de contraseñas son el elemento técnico más crítico del registro. SHA-1 sin sal se considera débil según los estándares de seguridad actuales; los atacantes pueden realizar ataques sin conexión para intentar obtener las contraseñas, especialmente contra contraseñas cortas, que contengan palabras del diccionario o que ya hayan aparecido en otras filtraciones. Si se utiliza la misma contraseña en otras cuentas, una filtración de Mappery puede facilitar intentos de inicio de sesión en cuentas de correo electrónico, foros, mapas, redes sociales o trabajo. Por lo tanto, no debe considerarse que el riesgo se limita a la cuenta de Mappery.

El alcance verificado comprende 205 242 direcciones de correo electrónico únicas, una fecha de filtración del 11 de diciembre de 2018, una fecha de incorporación del 18 de diciembre de 2018 y cuatro tipos de datos: direcciones de correo electrónico, ubicaciones geográficas, contraseñas y nombres de usuario. El registro está asociado a un sitio para compartir mapas. En este registro no figuran como campos verificados el número de teléfono, la dirección física, la tarjeta de pago, la cuenta bancaria, el documento de identidad oficial, el nombre real ni el contenido de mensajes privados.

El alcance del campo de contraseñas debe delimitarse de forma explícita. Lo verificado es un hash de contraseña SHA-1 sin sal; por tanto, no debe afirmarse que todas las contraseñas están en texto legible. Aun así, como SHA-1 sin sal es un método débil, las contraseñas reutilizadas conllevan un riesgo elevado. Los principales riesgos que deben comunicarse al usuario son el acceso no autorizado a las cuentas, la reutilización de contraseñas, la vinculación de perfiles a partir de información geográfica, el phishing y la pérdida de privacidad.

Los usuarios con mayor riesgo son quienes reutilizan en otros servicios la contraseña de su cuenta de Mappery. El riesgo de vinculación de perfiles aumenta para las personas que crean cuentas en comunidades de mapas, foros, redes sociales, servicios de trabajo o correo electrónico con la misma dirección de correo y el mismo nombre de usuario. En el caso de las cuentas que contienen información de ubicación geográfica, los mensajes falsos sobre una región, una ruta, un mapa o un lugar concretos pueden resultar más convincentes para el usuario.

Los usuarios que comparten mapas o son conocidos por contenido antiguo relacionado con ubicaciones también deben prestar atención a su privacidad. Las zonas geográficas no deben tratarse como una dirección completa, pero pueden dar pistas sobre intereses pasados o el contexto de los desplazamientos. Cuando esta información se combina con un nombre de usuario y un correo electrónico, facilita que los atacantes elaboren mensajes más personalizados. Por ello, deben revisarse no solo las contraseñas, sino también los perfiles de mapas y la información visible del usuario.

Si encuentra una coincidencia en el registro de Mappery, el primer paso es cambiar la contraseña de esta cuenta y de todas las demás cuentas que utilicen la misma por contraseñas únicas. Debe revisar de forma prioritaria las cuentas de correo electrónico, redes sociales, foros, servicios de mapas y servicios vinculados a pagos. Utilizar un gestor de contraseñas para crear contraseñas largas y aleatorias para cada servicio reduce el riesgo de reutilización. También debe comprobar si hay sesiones desconocidas, nuevas direcciones de recuperación o notificaciones de seguridad inesperadas en las cuentas.

Active la autenticación de dos factores en las cuentas que la admitan. Proteja especialmente bien la cuenta de correo electrónico, ya que el proceso de restablecimiento de contraseñas de muchos servicios se realiza a través del correo. No haga clic directamente en los enlaces de mensajes que se presenten como enviados por Mappery o por un servicio para compartir mapas; acceda usted mismo al dominio para comprobar la cuenta. No responda a mensajes que le pidan su contraseña, un código de recuperación o información de seguridad adicional.

Para mantener la protección a largo plazo, conviene separar las cuentas de mapas, aficiones y comunidades de las cuentas críticas. La dirección de correo electrónico principal debe reservarse para los servicios esenciales, mientras que puede utilizarse una dirección distinta para las cuentas de comunidades y servicios centrados en ubicaciones. No usar el mismo nombre de usuario en todas las plataformas dificulta la vinculación entre perfiles. Un gestor de contraseñas facilita la identificación de contraseñas reutilizadas anteriormente y la creación de contraseñas seguras para cada cuenta.

Los mapas antiguos y los perfiles de comunidades deben revisarse periódicamente. Deben cerrarse las cuentas que ya no se utilizan, evitarse la conservación de información personal innecesaria en las cuentas activas y seleccionarse con cuidado el contenido visible relacionado con ubicaciones. Dado que datos como la ubicación geográfica, el nombre de usuario y el correo electrónico pueden utilizarse para vincular perfiles incluso años después, el impacto de las filtraciones antiguas no desaparece por completo. Por este motivo, registros como el de Mappery deben abordarse con hábitos constantes de seguridad de las cuentas.

Si encuentra una coincidencia en una filtración de Mappery, primero haga una lista de las cuentas creadas con su dirección de correo electrónico afectada. Después, identifique qué servicios utilizan la misma contraseña o una similar y realice los cambios empezando por las cuentas más críticas. Si utiliza su nombre de usuario en otras plataformas, evalúe si la vinculación de esos perfiles supone un riesgo para su privacidad. Cierre las sesiones antiguas, actualice las opciones de recuperación y mantenga activadas las alertas de seguridad.

Este registro no debe considerarse una filtración de números de teléfono, direcciones físicas o tarjetas de pago; el riesgo verificado procede de la combinación del correo electrónico, la ubicación geográfica, el nombre de usuario y el hash de contraseña. Aunque la filtración de Mappery se remonta a 2018, el riesgo puede persistir hoy si se ha reutilizado la misma contraseña durante años. La mejor medida es usar contraseñas únicas, proteger bien la cuenta de correo electrónico y desconfiar de los mensajes falsos sobre mapas o de supuesta asistencia para cuentas.