Filtración de datos de Mashable

Las direcciones de correo electrónico del registro de Mashable pueden utilizarse para enviar mensajes de phishing con falsas alertas de seguridad, advertencias sobre cuentas de medios, renovaciones de suscripciones o conexiones en redes sociales. La información sobre el nombre, el género y la fecha de nacimiento parcial hace que estos mensajes parezcan personalizados. Las direcciones IP y los campos de ubicación geográfica no indican una dirección completa, pero pueden aportar pistas sobre la zona general desde la que se conecta el usuario o sobre el contexto de su perfil. Por su parte, los enlaces a perfiles de redes sociales pueden permitir relacionar estos datos con otros elementos de la identidad del usuario en internet.

Los tokens de autenticación son el aspecto de este registro que requiere más cautela. La información verificada indica que los tokens han caducado; por tanto, no debe afirmarse de forma concluyente que la sesión actual se haya visto comprometida. No obstante, el historial de tokens muestra que una función de inicio de sesión mediante redes sociales pudo haber estado en riesgo. El uso conjunto de enlaces a perfiles sociales y direcciones de correo electrónico puede hacer más eficaces los mensajes falsos de soporte, las alertas de seguridad de la cuenta y los intentos de phishing personalizados.

El alcance verificado comprende 1 414 677 direcciones de correo electrónico únicas, una fecha de filtración del 1 de junio de 2020, una fecha de incorporación al registro del 10 de noviembre de 2020 y ocho tipos de datos: tokens de autenticación, direcciones de correo electrónico, géneros, ubicaciones geográficas, direcciones IP, nombres, fechas de nacimiento parciales y perfiles de redes sociales. La información parcial sobre la fecha de nacimiento se limita al día y al mes; no debe describirse como una fecha de nacimiento completa. Las contraseñas, los números de teléfono, las direcciones físicas, las tarjetas de pago, las cuentas bancarias y los documentos oficiales de identidad no figuran como campos verificados en el registro.

En este registro debe mantenerse la distinción entre la filtración de datos y la toma de control directa de una cuenta. La información sobre los tokens caducados indica un riesgo asociado a una antigua sesión en redes sociales o a un vínculo de inicio de sesión; sin embargo, no debe concluirse que las claves de sesión actuales sigan siendo utilizables. Los principales riesgos que deben comunicarse al usuario son la vinculación de perfiles de redes sociales, el phishing dirigido, la pérdida de privacidad, los mensajes falsos personalizados a partir del nombre y la ubicación, y el uso indebido de la dirección de correo electrónico.

Los usuarios con mayor riesgo son quienes han vinculado su cuenta de Mashable con perfiles de redes sociales y utilizan la misma dirección de correo electrónico en varias cuentas de medios o redes sociales. Los usuarios cuyos enlaces a perfiles sociales son públicos pueden recibir falsas alertas sobre contenido compartido, avisos falsos sobre derechos de autor, notificaciones de suscripción o mensajes sobre la seguridad de sus cuentas. La información parcial sobre la fecha de nacimiento, el nombre y el género ayuda a que estos mensajes parezcan más personales.

El riesgo de vinculación de perfiles es mayor para las personas cuyos perfiles de redes sociales son de acceso público. La información sobre la IP y la ubicación geográfica no proporciona por sí sola una dirección completa, pero puede dar pistas sobre la zona general del usuario o sus hábitos de conexión. Quienes utilizan su correo electrónico de trabajo para iniciar sesión mediante redes sociales también deben extremar la precaución: si los datos de sus cuentas personales de medios se combinan con su identidad laboral, las falsas notificaciones empresariales o los ataques que imitan comunicaciones de marcas pueden resultar más convincentes.

Si encuentra una coincidencia en el registro de Mashable, compruebe primero la dirección de correo electrónico afectada y las cuentas de redes sociales asociadas a ella. Aunque no haya ningún campo verificado que incluya contraseñas, si utilizó el inicio de sesión mediante redes sociales, revise los permisos de las aplicaciones y las sesiones activas en las cuentas conectadas. Active la autenticación de dos factores en su cuenta de correo electrónico, compruebe las direcciones de recuperación y cierre las sesiones que no reconozca. Mantenga activadas las alertas de seguridad en las cuentas de medios, redes sociales y suscripciones que utilice con el mismo correo electrónico.

No haga clic directamente en enlaces que lleguen en nombre de Mashable o de una cuenta de un medio; acceda usted mismo al dominio para comprobar la cuenta. No responda a mensajes que soliciten acceso a redes sociales, códigos de recuperación, información de seguridad adicional o datos de pago. Los mensajes que contienen datos personales como el nombre, la fecha de nacimiento parcial o la ubicación pueden parecer más convincentes. Por ello, aunque el mensaje incluya información personal correcta, no debe dar por hecho que la solicitud sea legítima.

Para mantener la protección a largo plazo, revise periódicamente las cuentas que utiliza para iniciar sesión mediante redes sociales. Depure la lista de aplicaciones vinculadas a sus cuentas de redes sociales, retire los permisos de las aplicaciones que ya no utiliza y mantenga una configuración de seguridad independiente para sus cuentas de medios. Puede reservar su dirección de correo electrónico principal para las cuentas críticas y utilizar otra dirección con menor exposición al riesgo para las cuentas de medios y suscripciones. Esta separación dificulta que una filtración en una sola cuenta de un medio afecte al conjunto de su identidad digital.

Reduzca la información visible en su perfil sobre su nombre, ubicación, cumpleaños y conexiones sociales cuando no sea necesaria. Tenga presente que mantener públicos sus perfiles de redes sociales puede aumentar el riesgo de recibir mensajes dirigidos específicamente a usted. Las revisiones periódicas de las cuentas, la autenticación de dos factores, la eliminación de permisos de inicio de sesión mediante redes sociales y los buenos hábitos de seguridad del correo electrónico ofrecen una protección duradera tras este tipo de filtraciones. Aunque se trate de una filtración antigua, la misma dirección de correo electrónico y los enlaces a perfiles sociales pueden utilizarse en campañas de phishing años después.

Si encuentra una coincidencia en la filtración de Mashable, elabore primero una lista de las cuentas de redes sociales y de medios vinculadas a la dirección de correo electrónico afectada. Después, compruebe las sesiones abiertas, los permisos de las aplicaciones conectadas, las opciones de recuperación y las alertas de seguridad de esas cuentas. Si también utiliza la misma dirección de correo electrónico en cuentas de trabajo o en cuentas personales críticas, asegúrese de que la autenticación de dos factores y la información de recuperación de esas cuentas estén actualizadas. Reducir los enlaces a sus perfiles sociales disminuye el riesgo de que se vinculen sus perfiles en el futuro.

Este registro no debe considerarse una filtración de contraseñas, números de teléfono, direcciones físicas ni tarjetas de pago. El riesgo verificado procede de la combinación de correo electrónico, nombre, género, fecha de nacimiento parcial, IP, ubicación geográfica, perfil de redes sociales y tokens caducados. Aunque la filtración de Mashable se remonta a 2020, esta información todavía puede utilizarse en mensajes dirigidos específicamente a usted. Lo más adecuado es reforzar la seguridad de la cuenta de correo electrónico, depurar los permisos de inicio de sesión mediante redes sociales y actuar con cautela ante notificaciones falsas de medios que incluyan información personal.