Presunta exposición de datos de Mefeedia

Los tipos de datos enumerados en este registro son: direcciones de correo electrónico, direcciones IP, contraseñas, direcciones físicas y nombres de usuario. La información de direcciones físicas e IP, combinada con el nombre de usuario y el correo electrónico, aumenta el riesgo de vincular los datos con una identidad. Al utilizar estos campos en conjunto, las notificaciones falsas, la recuperación de cuentas, las búsquedas dirigidas, la vinculación de identidades o los intentos de fraude pueden resultar más convincentes.

Dado que se incluye el campo de contraseña, los usuarios deben comprobar si han utilizado la misma contraseña en otros servicios. Incluso en registros sin contraseña, campos como el teléfono, la dirección, la IP, la información del dispositivo, el perfil profesional, la afiliación o la ubicación física pueden suponer por sí solos un riesgo considerable. Si hay un campo de contraseña o similar, también se debe comprobar si esa misma información se repite en distintos servicios.

El registro se limita a aproximadamente 1,67 millones de registros asociados al nombre de dominio mefeedia.com. El incidente pertenece a la categoría de registros no verificados. Para describir su alcance, se han evaluado por separado el nombre de dominio, el sector, el país, el número de cuentas, las categorías de datos y la posibilidad de solapamiento con incidentes similares. No se han presentado al usuario tipos de datos no enumerados como si estuvieran incluidos.

El incidente no se presenta como una declaración concluyente de la empresa, ya que no hay confirmación de una institución de peso. En los registros con limitaciones de verificación, el texto no se ha formulado como una declaración concluyente de la empresa. En los registros que pueden estar duplicados o parecer parte de un incidente de otra marca, esta distinción se indica de forma indirecta al usuario y no se amplía innecesariamente la lista de campos de datos.

Están en riesgo los usuarios de Mefeedia, las personas que utilizan la misma contraseña en cuentas antiguas de plataformas de video y las cuentas que contienen un campo de dirección. El principal riesgo para estas personas es que los campos filtrados se vinculen con información utilizada en otras cuentas. Si el mismo correo electrónico, teléfono, nombre de usuario, IP, dirección, perfil social o contraseña se repite en distintas cuentas, aumenta la superficie de ataque.

Las cuentas antiguas de plataformas de medios pueden utilizarse en mensajes falsos de recuperación de cuentas, restablecimiento de contraseñas o verificación de perfiles. Los medios de comunicación, el sector inmobiliario, las telecomunicaciones, la logística, los videojuegos, el video, los servicios de Discord, las plataformas de citas y los contextos de datos profesionales plantean riesgos diferentes. El usuario debe tener en cuenta no solo los campos de datos, sino también el contexto del servicio al que están asociados.

Los usuarios afectados deben cambiar la contraseña en todas las cuentas donde utilicen la misma y revisar las sesiones de su correo electrónico. Si se incluye un campo de contraseña o similar, deben cambiar la contraseña en todas las cuentas donde utilicen la misma o una parecida, usar una contraseña única y activar la autenticación multifactor cuando sea posible. También se debe revisar la cuenta de correo electrónico.

En los registros que contengan teléfono, dirección, ubicación, IP, dispositivo, perfil laboral, facturación, contrato o identificador de plataforma, los usuarios deben revisar las opciones de recuperación de cuentas, el historial de sesiones, las reglas de reenvío y los mensajes sospechosos. En el caso de las cuentas corporativas, esta información debe compartirse con el equipo de seguridad.

Se deben cerrar las cuentas antiguas de plataformas de medios y foros, y eliminar la información del perfil y de la dirección en los servicios que ya no se utilicen. A largo plazo, los gestores de contraseñas, las contraseñas únicas, la autenticación multifactor, el cierre de cuentas antiguas y la eliminación de campos de perfil innecesarios son medidas de protección fundamentales. Como no es posible recuperar los datos personales permanentes, se deben reforzar las prácticas de uso de las cuentas y los procesos de verificación.

Desde la perspectiva de las instituciones, estos incidentes muestran la necesidad de auditar periódicamente la minimización de datos, el acceso de terceros, el plazo de conservación de los registros de clientes, los documentos de empleados y los procesos de notificación de incidentes. Para los usuarios, no repetir la misma información de identidad en distintos servicios reduce el riesgo persistente.

Si sus datos coinciden con este registro, debe comprobar si sigue utilizando su antigua contraseña de Mefeedia en otras cuentas. Si encuentra una coincidencia, primero debe consultar qué campos de datos se enumeran y después priorizar las medidas según corresponda. Si hay una contraseña, debe priorizar el cambio de contraseña; si hay una dirección o un teléfono, una alerta de fraude; si hay una IP o un dispositivo, el control de las sesiones; si hay una afiliación sensible, los controles de privacidad.

Evaluación final: aunque este registro no se ha verificado, se ha clasificado como sensible por los campos de contraseña, IP y dirección física. Debe comparar este registro con el historial de sus propias cuentas y revisar uno por uno los servicios en los que haya utilizado el mismo correo electrónico, teléfono, nombre de usuario, IP, dirección o contraseña. Tras el incidente, cualquier llamada, correo electrónico, mensaje o notificación de recuperación de cuenta que resulte sospechoso debe considerarse de mayor riesgo.