Filtración de datos de MaReads

Los tipos de datos que figuran en este registro son direcciones de correo electrónico, números de teléfono, nombres de usuario y fechas de nacimiento. Dado que no hay un campo de contraseña, no se afirmó que las contraseñas de las cuentas se hubieran visto comprometidas. No se añadieron a la lista de categorías de datos tarjetas de pago, cuentas bancarias, mensajes privados, documentos de identidad oficiales, historiales médicos ni campos adicionales del perfil que no se hubieran verificado; solo se conservaron los campos respaldados por la información disponible.

El número de teléfono y la fecha de nacimiento pueden utilizarse junto con el nombre de usuario en mensajes falsos de asistencia, verificación de membresía o notificaciones de la comunidad. Una dirección de correo electrónico por sí sola supone un riesgo de recibir mensajes no deseados; al combinarla con el número de teléfono, la dirección, la IP, la fecha de nacimiento, una foto, el número de identificación o datos de seguimiento del dispositivo, resulta más fácil para un atacante crear mensajes personalizados para el usuario. Por tanto, el riesgo se evalúa no solo según el número de registros, sino también según la posibilidad de combinar los datos.

El registro de junio de 2025 confirmó un alcance de 74 453 registros. Se conservaron los aspectos verificados y se excluyeron los no confirmados. El incidente no se combinó con otras marcas, registros de nombres similares ni sucesos de la misma empresa ocurridos en otros periodos.

El incidente se limitó al nombre de dominio de MaReads y no se agrupó con los de otras plataformas de lectura. Este enfoque evita añadir brechas duplicadas y permite mostrar al usuario qué organización es responsable. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron en el contexto más acotado y preciso posible; cuando había incertidumbre, el indicador de verificación o el dominio del sitio web se establecieron en consecuencia.

Los grupos de usuarios en riesgo son los lectores, autores y miembros de la comunidad que abren una cuenta en MaReads. Los usuarios cuyos datos coincidan con este registro también deben evaluar otras cuentas en las que utilicen el mismo correo electrónico, teléfono, nombre de usuario o patrón de contraseña.

Quienes utilizan el mismo apodo en distintas comunidades pueden correr el riesgo de que se vinculen sus identidades. El riesgo de ingeniería social puede aumentar si existe un contexto de correo electrónico corporativo, cuentas infantiles o familiares, registros públicos, identidades de videojuegos, comunidades de lectoescritura, software de monitorización o servicios profesionales. Los usuarios no deben considerar fiables los mensajes solo porque incluyan detalles sobre ellos que parezcan correctos.

Los usuarios afectados deben revisar con atención los mensajes sobre membresías, notificaciones laborales o verificaciones de cuentas que reciban por teléfono y correo electrónico. En los registros que incluyan un campo de contraseña, deben cambiarse las contraseñas de todas las cuentas que utilicen la misma; en los registros sin ese campo, la atención debe centrarse en los riesgos relacionados con el teléfono, el correo electrónico, las notificaciones falsas y la vinculación de identidades.

En lugar de hacer clic en los enlaces del mensaje, debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No debe dar por válidos los mensajes sobre envíos, asistencia, recompensas de videojuegos, advertencias sobre cuentas, registros públicos, notificaciones de seguridad, documentos compartidos o renovaciones de suscripciones sin verificarlos por un canal independiente.

En las plataformas comunitarias, debe reducirse al mínimo la información facilitada en campos opcionales, como la fecha de nacimiento y el número de teléfono. Los usuarios deben revisar periódicamente y eliminar las cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario duplicados, los números de teléfono antiguos y la información de direcciones. Utilizar una contraseña única para cada servicio y activar la autenticación de dos factores siempre que sea posible debe ser una norma básica.

Para los proveedores de servicios, son necesarias la minimización de datos, una protección sólida de las contraseñas, la supervisión de los registros de acceso, la eliminación de campos innecesarios y la preparación de los procesos de notificación a los usuarios. Las plataformas de lectura deben minimizar los datos de fecha de nacimiento y teléfono, ya que estos también pueden afectar a usuarios jóvenes. Explicar el alcance con precisión también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

Primero, debe comprobar este registro con su dirección de correo electrónico. Si encuentra una coincidencia, debe asumir que su número de teléfono, fecha de nacimiento y nombre de usuario pueden estar en riesgo, y verificar también los mensajes relacionados con la comunidad. No encontrar una coincidencia no descarta por completo el uso de un correo electrónico distinto ni la reutilización de una contraseña antigua; también debe revisar sus cuentas críticas.

Este registro se mantuvo verificado; sin embargo, no se añadió ninguna afirmación sobre contraseñas o información de pago. En esta edición, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco con un texto original, no se añadieron campos sin verificar y el indicador de sensibilidad solo se utilizó cuando el contexto de riesgo lo justificaba.