Presunta exposición de datos de MarketsMojo

En los listados de las fuentes consultadas aparecen cifras mayores y algunos campos de datos adicionales para MarketsMojo. Sin embargo, se ha aplicado un criterio más prudente al incorporar las categorías de datos. Los campos respaldados por pruebas más sólidas son las direcciones de correo electrónico, los números de teléfono, los nombres de usuario y los hashes de contraseñas generados con bcrypt. Los campos como las direcciones físicas no se han añadido al campo dataClasses de este registro porque no cuentan con una verificación suficientemente sólida. Se ha optado por este enfoque para evitar presentar afirmaciones excesivas al usuario.

Las categorías de datos verificables incluyen direcciones de correo electrónico, números de teléfono, nombres de usuario y hashes de contraseñas. Según los informes, las contraseñas se almacenan en formato de hash bcrypt. Bcrypt ofrece un método de almacenamiento de contraseñas más robusto que los algoritmos rápidos como MD5 o SHA1; sin embargo, la robustez de un hash no significa que el riesgo desaparezca por completo. Las contraseñas débiles, los parámetros de coste bajos o la costumbre de reutilizar contraseñas pueden facilitar la labor de un atacante.

Disponer tanto del correo electrónico como del número de teléfono permite a los atacantes contactar con el usuario por correo y por SMS. El nombre de usuario puede revelar su identidad dentro de la plataforma y, en ocasiones, un alias que coincida con el de otras cuentas de inversión, redes sociales o foros. Dado el contexto de la plataforma de análisis financiero, se pueden preparar mensajes sobre asesoramiento de inversión, alertas de cartera, renovación de suscripciones o verificación de cuentas.

En plataformas de inversión y análisis de mercados como MarketsMojo, los usuarios consultan información para tomar decisiones financieras. Si un atacante sabe que un usuario está vinculado a una plataforma de este tipo, puede preparar mensajes de estafa de inversión más convincentes. Puede recurrir a temas como alertas falsas sobre acciones, renovación de membresías prémium, verificación de carteras, actualizaciones de aplicaciones, comprobación de métodos de pago o vinculación de cuentas de bróker.

En este registro no se han incluido en la descripción datos de cuentas bancarias, datos de tarjetas ni el contenido de las carteras de inversión, porque no se han verificado. No obstante, incluso el correo electrónico y el número de teléfono constituyen un punto de partida importante para el fraude financiero. Como el usuario realmente utiliza una plataforma de inversión, puede responder con mayor rapidez a mensajes sobre oportunidades de inversión o alertas urgentes del mercado. Este riesgo de ingeniería social hace que el registro sea especialmente relevante.

Antes de añadir el registro, se comprobó si había duplicados entre los registros existentes de MarketsMojo, Markets Mojo, marketsmojo.com y otras variantes relacionadas del nombre. Como no se encontró ningún registro único existente, se consideró un registro nuevo. Se aceptó su incorporación porque los listados accesibles reúnen el dominio, la fecha de marzo de 2021, cientos de miles de registros de usuarios y categorías de datos que incluyen correo electrónico, teléfono, nombre de usuario y hashes de contraseñas generados con bcrypt.

Aun así, no se ha identificado ninguna declaración oficial exhaustiva del operador de la plataforma que confirme todos los detalles técnicos, el número de registros y las categorías de datos afectadas. Por ello, el registro se ha mantenido como no verificado. No se han incluido en las categorías de datos los campos adicionales mencionados en fuentes menos sólidas, como la dirección física. Este registro solo utiliza los campos que cuentan con mayor respaldo y no presenta como ciertos los puntos ambiguos.

Si ha utilizado en otros servicios la misma contraseña que en su cuenta de MarketsMojo, lo primero que debe hacer es cambiarla. Los hashes bcrypt no son directamente contraseñas en texto plano; sin embargo, el riesgo aumenta si ha utilizado una contraseña débil o una que también aparece en otras filtraciones. Debe dar prioridad a las cuentas de correo electrónico, las aplicaciones financieras, las cuentas de bróker, las plataformas de compras y las cuentas de redes sociales.

Como el número de teléfono está expuesto, el phishing por SMS también es un riesgo real. Los atacantes pueden enviar mensajes sobre alertas del mercado, oportunidades de inversión, verificación de carteras, renovación de pagos o actualizaciones de seguridad de aplicaciones. Estos mensajes pueden contener enlaces cortos, páginas de inicio de sesión falsas o enlaces para descargar aplicaciones maliciosas. Los usuarios deben extremar la precaución ante los mensajes de contenido financiero.

• Cambie la contraseña de su cuenta de MarketsMojo por una que sea única y robusta.
• Actualice las contraseñas de las cuentas financieras, de correo electrónico y de redes sociales en las que utilice la misma contraseña.
• Active la verificación en dos pasos en las aplicaciones financieras.
• No abra directamente los enlaces de inversión recibidos por SMS o correo electrónico.
• Compruebe las solicitudes de verificación de cuentas de bróker o de pago desde la aplicación oficial.
• No comparta con nadie los códigos de verificación que le soliciten por teléfono.
• Verifique en una fuente independiente los mensajes de asesoramiento de inversión o de oportunidades urgentes del mercado.

Bcrypt es un algoritmo lento y de alto coste computacional diseñado para almacenar contraseñas. Cuando se configura correctamente, dificulta que los atacantes obtengan la contraseña real a partir de los hashes. Sin embargo, no todas las implementaciones de bcrypt son igual de robustas. Si el parámetro de coste es bajo, la contraseña es corta o común, o el usuario ha utilizado la misma contraseña en otras filtraciones, los atacantes aún pueden obtener una ventaja.

Por lo tanto, los usuarios no deben interpretar la mención de bcrypt como una garantía de seguridad absoluta. El enfoque más seguro es asumir que la contraseña podría haberse descifrado y utilizar una nueva contraseña única. Si se ha utilizado la misma contraseña en otras cuentas financieras o de correo electrónico, el riesgo es más grave. Crear contraseñas aleatorias y largas con un gestor de contraseñas reduce este riesgo.

Los usuarios de plataformas de análisis financiero pueden ser objetivos atractivos para el fraude. Cuando un atacante conoce los intereses de inversión del usuario, puede enviarle mensajes sobre recomendaciones falsas de acciones, informes exclusivos, análisis prémium, pruebas gratuitas, alertas de cartera o documentos fiscales. Si dispone de un número de teléfono, también puede llevar a cabo la misma campaña por SMS o aplicaciones de mensajería.

Los usuarios no deben tomar decisiones de inversión basándose en enlaces recibidos por correo electrónico o SMS. No deben descargar aplicaciones fuera de la tienda oficial de aplicaciones; deben acceder a los sitios de los brókeres mediante direcciones de confianza introducidas manualmente o guardadas, y comprobar las solicitudes de pago y suscripción a través del panel oficial. Los mensajes financieros que generan una sensación de urgencia deben considerarse especialmente sospechosos.

Las plataformas de tecnología financiera e investigación sobre inversiones deben prestar atención no solo a la seguridad de las contraseñas, sino también al posible uso indebido de los datos de contacto. Si los correos electrónicos y los números de teléfono se almacenan juntos, se deben aplicar controles de acceso, enmascaramiento, restricciones de descarga y supervisión de anomalías. La autenticación multifactor debe ser obligatoria en los paneles de administración, las exportaciones de datos de clientes deben quedar registradas y los campos innecesarios no deben conservarse durante periodos prolongados.

Cuando se sospecha una filtración, no basta con indicar al usuario que cambie su contraseña. Se deben explicar con claridad los riesgos de fraude financiero, phishing por SMS, falsas oportunidades de inversión y engaños relacionados con la renovación de suscripciones. Si el usuario sabe qué ataques podrían producirse, podrá evaluar mejor los mensajes que recibe. Por el contexto financiero, la estrategia de comunicación es tan importante como los detalles técnicos.

La filtración de datos de MarketsMojo figura en un registro asociado a la plataforma de investigación sobre inversiones marketsmojo.com. Según los informes, afectó a aproximadamente 450 949 registros de usuarios durante marzo de 2021. Las categorías de datos que se reportaron como expuestas incluyen direcciones de correo electrónico, números de teléfono, nombres de usuario y hashes de contraseñas generados con bcrypt. Esta información plantea riesgos para la seguridad de las cuentas y puede facilitar el phishing por SMS y el fraude financiero.

El registro no se ha marcado como verificado porque no existe una confirmación oficial de una fuente primaria. No obstante, se han incluido el dominio, la fecha, el número de registros y las categorías de datos para informar a los usuarios, ya que aparecen de forma consistente en los registros públicos de filtraciones. Los usuarios de MarketsMojo deben cambiar sus contraseñas, activar la autenticación de dos factores en sus cuentas financieras, evitar hacer clic en enlaces de inversión recibidos por SMS o correo electrónico y no compartir códigos de verificación con nadie.

La información de correo electrónico y teléfono asociada a plataformas financieras puede combinarse con otros conjuntos de datos con el tiempo. Si un usuario utiliza el mismo correo electrónico para un bróker, un banco, un foro de inversión o un boletín, un atacante puede elaborar un perfil de inversión más completo. Ese perfil puede utilizarse para falsas oportunidades de inversión o mensajes de estafa personalizados.

A largo plazo, los usuarios deben utilizar contraseñas distintas y robustas para sus cuentas financieras, emplear preferiblemente una dirección de correo electrónico separada para las notificaciones financieras, usar autenticación multifactor basada en aplicaciones además de la verificación por SMS y tomar decisiones de inversión únicamente a partir de fuentes verificadas. Un registro antiguo de filtración puede seguir utilizándose para nuevos intentos de fraude mientras el teléfono y el correo electrónico no hayan cambiado.

En algunos listados de MarketsMojo pueden aparecer campos de datos adicionales, como direcciones físicas; sin embargo, estos campos no se incluyeron en el campo dataClasses porque los registros detallados no los respaldan con la misma claridad. Esta decisión no se tomó para minimizar el impacto de la filtración, sino para evitar presentar al usuario un alcance no verificado como información definitiva. El correo electrónico, el teléfono, el nombre de usuario y los hashes de contraseñas ya constituyen un perfil de riesgo suficiente para exigir medidas de seguridad.

En el futuro, el registro podrá actualizarse si una fuente más sólida verifica la dirección física u otros campos de datos financieros. Por ahora, el enfoque más preciso es alertar al usuario sobre los campos esenciales verificables y explicar con claridad el riesgo de ingeniería social en el contexto financiero. Por ello, la explicación se centra específicamente en el phishing por SMS, las notificaciones falsas de inversión, las renovaciones de suscripciones y los engaños de verificación de cuentas.

Los registros de filtraciones que contienen números de teléfono no afectan únicamente a la seguridad del correo electrónico. Un atacante puede llamar al usuario, enviarle mensajes o hacerse pasar por un representante de una aplicación de inversión. Los códigos de un solo uso enviados al usuario, las solicitudes para compartir la pantalla y las peticiones de asistencia remota son especialmente peligrosos. Por ello, los usuarios de MarketsMojo deben utilizar autenticación multifactor basada en aplicaciones en sus cuentas financieras y no compartir ningún código recibido por teléfono.