Filtración de datos de MC2 Data

Los tipos de datos observados en este registro son direcciones de correo electrónico, nombres y contraseñas. Se consideró que las contraseñas están almacenadas como hashes SHA-256 con sal; el riesgo persiste para las contraseñas débiles o reutilizadas. No se añadieron a la lista de categorías de datos campos no verificados sobre tarjetas de pago, cuentas bancarias, mensajes privados, documentos oficiales de identidad, historiales médicos u otros datos del perfil; solo se conservaron los campos respaldados por la evidencia.

En el contexto del servicio de comprobación de antecedentes, a los atacantes les puede resultar más fácil enviar al usuario mensajes que aparenten ser consultas oficiales, comprobaciones de identidad o comunicaciones sobre suscripciones. Una dirección de correo electrónico por sí sola supone un riesgo de mensajes no solicitados; si se combina con un número de teléfono, una dirección, una IP, una fecha de nacimiento, una foto, un número de identificación o datos de seguimiento de dispositivos, resulta más fácil para un atacante crear mensajes personalizados para el usuario. Por ello, el riesgo se evalúa no solo por la cantidad de registros, sino también por la utilidad de los datos al combinarlos.

El alcance verificado a agosto de 2024 era de 2,12 millones de registros de suscriptores. Se conservaron los aspectos confirmados y se excluyeron los no confirmados. El incidente no se agrupó con otras marcas, registros con nombres similares ni sucesos de la misma empresa correspondientes a otros períodos.

Las afirmaciones sobre un conjunto más amplio de datos personales no se incorporaron a las categorías de datos canónicas de este registro; el registro se limitó a los campos de correo electrónico, nombre y contraseña de los suscriptores. Este enfoque evita entradas duplicadas de filtraciones y atribuciones incorrectas de responsabilidad a organizaciones ante el usuario. La información sobre el dominio, el nombre de la empresa y el sector se mantuvo en el contexto más acotado y preciso posible; cuando había incertidumbre, el indicador de verificación o el campo de sitio web se configuraron en consecuencia.

Entre los grupos de usuarios en riesgo pueden encontrarse las personas con cuentas de suscripción bajo MC2 Data o marcas asociadas. Los usuarios cuyos datos coincidan con el registro también deberían revisar otras cuentas en las que utilicen el mismo correo electrónico, número de teléfono, nombre de usuario o patrón de contraseña que en la cuenta afectada.

Los intentos de apropiación de cuentas son más graves para quienes utilizan la misma contraseña en otras cuentas profesionales, financieras o de correo electrónico. El riesgo de ingeniería social puede aumentar si existe un contexto relacionado con un correo corporativo, una cuenta infantil o familiar, un registro público, una identidad de videojuegos, una comunidad de alfabetización, software de seguimiento o un servicio profesional. Los usuarios no deben interpretar como una señal de confianza los detalles sobre ellos que parezcan correctos.

Los usuarios afectados deberían cambiar la contraseña que utilizan en sus cuentas relacionadas con MC2 Data y en todas las cuentas donde utilicen esa misma contraseña. En los registros que incluyen un campo de contraseña, se deben actualizar todas las cuentas que utilicen la misma contraseña; en los registros sin ese campo, la atención debe centrarse en los riesgos relacionados con el teléfono, el correo electrónico, las notificaciones falsas y la vinculación de identidades.

En lugar de hacer clic en los enlaces del mensaje, se debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No se deben dar por válidos los mensajes sobre envíos, soporte, recompensas de juegos, advertencias de cuentas, registros públicos, notificaciones de seguridad, documentos compartidos o renovaciones de suscripciones sin verificarlos por un canal independiente.

Para los servicios de intermediación de datos y comprobación de antecedentes, se debería utilizar un correo electrónico independiente, una contraseña única y la mínima información de perfil. Los usuarios deberían depurar periódicamente las cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario duplicados y los datos de teléfono y dirección desactualizados. La norma básica debería ser utilizar una contraseña única para cada servicio y autenticación de dos factores siempre que sea posible.

Por parte de los proveedores de servicios, se requieren medidas de minimización de datos, una protección sólida de las contraseñas, supervisión de los registros de acceso, eliminación de campos innecesarios y procesos de notificación a los usuarios preparados para su uso. Para las empresas de intermediación de datos, el control de acceso y la detección de servicios sin contraseña son requisitos básicos de seguridad. Describir el alcance con precisión también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas incorrectas.

El usuario debería comprobar primero si su dirección de correo electrónico aparece en este registro. Si se encuentra una coincidencia, se debe asumir que los campos de nombre y contraseña pueden estar en riesgo y actualizar primero las cuentas que utilicen la misma contraseña. No encontrar una coincidencia no descarta por completo el uso de otros correos electrónicos ni la reutilización de contraseñas antiguas; también se deberían revisar las cuentas críticas.

Este registro se ha verificado y se ha mantenido marcado como sensible; no se añadió un conjunto amplio de campos de datos personales no verificados. En esta configuración, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco con un texto original, no se añadieron campos sin verificar y el indicador de sensibilidad solo se utilizó cuando el contexto de riesgo lo respaldaba.