Filtración de datos de MeetMindful de 2020

Los tipos de datos confirmados en este registro abarcan un conjunto amplio de información con un gran impacto en la privacidad. Cuando aparecen juntos la dirección de correo electrónico, el nombre completo, el nombre de usuario, la dirección IP y la información de ubicación geográfica, es posible vincular el perfil de citas en línea de una persona con su identidad real. La fecha de nacimiento y el género aportan contexto adicional para relacionar perfiles y realizar intentos de phishing dirigido. El estado civil, las creencias religiosas, la orientación sexual, las características físicas y las preferencias de estilo de vida plantean riesgos graves no solo para la seguridad, sino también para la privacidad y la reputación.

El almacenamiento de las contraseñas como hashes bcrypt es un aspecto positivo; sin embargo, esto no significa que los usuarios puedan prescindir de tomar medidas. Aún se pueden probar contraseñas débiles, reutilizadas o que hayan aparecido en otras filtraciones. Los enlaces a perfiles en redes sociales pueden utilizarse para acceder a otras cuentas de una persona, conocer su círculo de amistades o preparar mensajes más convincentes. Por tanto, la exposición de los datos de una cuenta de MeetMindful no debe tratarse como una filtración corriente de datos de usuarios registrados, sino como una filtración de datos sensibles que afecta a la vez a la privacidad del perfil de citas y a la seguridad de la cuenta.

El alcance verificado debe evaluarse a partir del nombre de dominio de MeetMindful, la fecha de la filtración, el 26 de enero de 2020, la fecha de incorporación del registro, el 31 de enero de 2021, y las 1 422 717 cuentas afectadas. Los registros independientes y las noticias de fuentes fiables respaldan que el incidente está relacionado con el servicio de citas en línea, que las contraseñas se almacenaban como hashes bcrypt y que los campos de los perfiles contienen una amplia variedad de datos sensibles. Por tanto, el sector de la organización no debe clasificarse como comercio minorista, sino como citas en línea y comunidad centrada en una vida consciente. Dado que existen perfiles empresariales fiables que vinculan a la empresa con Denver, Colorado, puede mantenerse Estados Unidos en el campo de país.

Este registro no debe presentarse como si contuviera datos de tarjetas de pago, cuentas bancarias, contenido de mensajes privados o documentos de identidad. Aunque algunos informes mencionan cifras más altas de registros sin procesar o detalles de perfiles, la cifra utilizada en las comprobaciones de seguridad de la cuenta corresponde al número de cuentas o direcciones de correo electrónico únicas verificadas. Esta distinción es importante: el riesgo que se muestra al usuario debe determinarse a partir de las categorías de datos verificadas y de las coincidencias de cuentas que pueden consultarse. No debe describirse un método de ataque, una identidad del atacante o una causa técnica sin confirmar como un elemento necesariamente presente en el incidente.

El mayor riesgo corresponde a los usuarios que reutilizan la dirección de correo electrónico y la contraseña de su cuenta de MeetMindful en otras cuentas. En estos casos, también deben revisarse el buzón de correo electrónico, las cuentas en redes sociales, otros servicios de citas, las cuentas en la nube y las cuentas relacionadas con pagos. El riesgo de vincular perfiles aumenta para quienes utilizan su nombre real, información sobre su ciudad, enlaces a redes sociales o información de perfil centrada en fotografías junto con su perfil de citas. La visibilidad de preferencias sensibles del perfil puede aprovecharse para el acoso dirigido, la presión social, los intentos de chantaje o el envío de mensajes destinados a avergonzar a la persona.

El riesgo es más complejo para quienes se registran con una dirección de correo electrónico laboral, ya que un perfil de citas privado puede vincularse con su identidad profesional. También deben tener cuidado los usuarios que inician sesión en dispositivos compartidos, pasan mucho tiempo sin cambiar su antigua contraseña o vinculan una cuenta de redes sociales. La información de ubicación y de IP, por sí sola, no permite determinar una dirección exacta, pero, al combinarse con el nombre completo, la ciudad y los detalles del perfil, puede facilitar la identificación de la persona. Por tanto, la evaluación del riesgo debe tener en cuenta no solo la toma de control de la cuenta, sino también el impacto en la privacidad y los riesgos de la ingeniería social dirigida.

Los usuarios que vean una coincidencia con MeetMindful deben cambiar primero la contraseña utilizada en esa cuenta y en todas las demás cuentas donde la hayan reutilizado. La nueva contraseña debe ser única, guardarse en un gestor de contraseñas y no reutilizarse en ningún otro servicio. La protección de la cuenta de correo electrónico debe ser prioritaria, porque los enlaces para restablecer contraseñas, las alertas de seguridad y las notificaciones de inicio de sesión suelen llegar al mismo buzón. Debe activarse la autenticación de dos factores en la cuenta de correo electrónico, comprobarse las direcciones de recuperación y cerrarse las sesiones desconocidas.

El segundo paso es revisar las cuentas de redes sociales y los nombres de usuario similares asociados al perfil de citas. Deben considerarse sospechosas las alertas de seguridad enviadas por desconocidos, las solicitudes de verificación del perfil, las peticiones de fotografías o dinero y los mensajes que soliciten información personal. En lugar de hacer clic en los enlaces de los mensajes, debe accederse directamente al servicio correspondiente. Si se reciben mensajes amenazantes que hacen referencia a aspectos sensibles, como la orientación sexual, las creencias religiosas, el consumo de sustancias o las preferencias de relación, deben conservarse las pruebas sin borrarlas y aplicarse de inmediato las medidas de seguridad de la cuenta.

Este incidente demuestra que la información privada compartida en los perfiles de servicios de citas y de descubrimiento social puede tener consecuencias para la seguridad incluso años después. Los usuarios deben reducir periódicamente la información de los campos privados del perfil, limitar los enlaces a redes sociales accesibles al público y evitar reutilizar el mismo nombre de usuario en varias cuentas. Un gestor de contraseñas facilita la creación de una contraseña distinta para cada cuenta. La autenticación de dos factores debe considerarse una medida de seguridad habitual, especialmente en las cuentas de correo electrónico, redes sociales y servicios de citas.

La lección para los proveedores de servicios es que los campos privados de los perfiles de citas no pueden tratarse como simples datos de marketing. Estos datos deben considerarse, como mínimo, tan sensibles como las credenciales de la cuenta; deben limitarse los permisos de acceso, evitarse la conservación de datos innecesarios, eliminarse periódicamente los campos antiguos de los perfiles y ofrecerse a los usuarios opciones claras de eliminación. Aunque el método de hash de contraseñas sea sólido, la notificación a los usuarios tras una filtración, el cambio de contraseñas, el cierre de sesiones y la vigilancia de accesos sospechosos deben realizarse sin demora. La notificación transparente y el principio de minimización de datos son requisitos de seguridad fundamentales en los servicios que contienen datos privados.

Si ve una coincidencia con MeetMindful en LeakData, considérela una filtración de datos sensibles de perfiles de citas ocurrida en 2020. La coincidencia no significa que su cuenta esté comprometida actualmente; sin embargo, este registro puede incluir su dirección de correo electrónico, los campos de su perfil, su nombre de usuario, información contextual de IP y ubicación, y el hash bcrypt de su contraseña. La prioridad es dejar de compartir la misma contraseña entre cuentas, reforzar la seguridad del correo electrónico y comprobar las vinculaciones con redes sociales.

Para este registro, no debe considerarse suficiente cambiar únicamente la contraseña. También deben tenerse en cuenta la privacidad del perfil, la vinculación con perfiles en redes sociales y el posible uso indebido de preferencias sensibles. Cierre sus antiguos perfiles de citas o reduzca los campos de datos; revise la información visible en las cuentas donde utilice el mismo nombre de usuario. Este registro también es importante para las instituciones: deben realizarse periódicamente auditorías que impidan que los empleados reutilicen contraseñas de cuentas personales en cuentas laborales y aplicarse políticas de autenticación de dos factores.