Filtración de datos de MemeChat de 2022

Aunque los tipos de datos verificados puedan parecer limitados, la combinación de una dirección de correo electrónico y un nombre de usuario puede tener consecuencias graves para la seguridad. La dirección de correo electrónico puede utilizarse para encontrar las cuentas del usuario en otros servicios, enviarle mensajes dirigidos específicamente a él o buscar coincidencias con filtraciones de datos anteriores. Por su parte, el nombre de usuario puede ayudar a localizar el mismo alias en cuentas de redes sociales, videojuegos, foros o plataformas de creación de contenido. En un servicio centrado en el contenido y la comunidad como MemeChat, la vinculación del nombre de usuario con una identidad visible aumenta el riesgo de relacionar perfiles entre sí.

Dado que no se verificaron datos de contraseñas en este registro, no se debe alarmar al usuario sin fundamento. No obstante, los usuarios cuyas direcciones de correo electrónico se hayan filtrado pueden recibir mensajes dirigidos específicamente a ellos, como intentos de phishing, notificaciones de premios falsos, campañas para creadores de contenido, mensajes de verificación de cuentas u ofertas de colaboración fraudulentas. También existe un riesgo para la reputación, especialmente para quienes crean contenido y utilizan el mismo nombre de usuario en distintas redes sociales. Un atacante puede intentar acceder a los perfiles sociales reales de la persona, crear cuentas falsas o engañar a sus seguidores utilizando el correo electrónico y el nombre de usuario filtrados.

Para evaluar el alcance verificado, deben tenerse en cuenta el nombre de dominio de MemeChat, la fecha de la filtración, el 1 de junio de 2022, la fecha de incorporación del registro, el 29 de octubre de 2023, las 4 348 570 direcciones de correo electrónico únicas y los dos tipos de datos. Los tipos de datos se limitan a las direcciones de correo electrónico y los nombres de usuario. En algunos registros, el número total de filas es de aproximadamente 7,4 millones; esta cifra puede superar el número de usuarios únicos debido a duplicados o filas adicionales en el conjunto de datos. En LeakData, el riesgo principal que se muestre al usuario debe basarse en las coincidencias de direcciones de correo electrónico únicas y de nombres de usuario.

No deben añadirse a este registro contraseñas, direcciones IP, nombres completos, números de teléfono, direcciones, fechas de nacimiento, contenido de mensajes ni información de pago. La información fiable disponible públicamente es limitada en cuanto a si la causa técnica fue un incidente de seguridad interno confirmado o un repositorio de datos mal configurado. Por tanto, la explicación que se muestre al usuario no debe atribuir un método de ataque concreto, sino describir el impacto principal a partir de los dos campos de datos divulgados. En cuanto al contexto de la empresa, los perfiles empresariales actuales respaldan su descripción como una empresa con sede en India dedicada a la publicación en internet de memes y contenido social.

El mayor riesgo afecta a quienes utilizan en su cuenta de MemeChat la misma dirección de correo electrónico que en sus cuentas de redes sociales, videojuegos, foros, creación de contenido y colaboración. Resulta más fácil relacionar los perfiles de quienes repiten el mismo nombre de usuario en varias plataformas. Esto es especialmente importante para los creadores de contenido con seguidores, los usuarios que administran páginas de memes y las personas que se comunican con marcas. Un correo electrónico filtrado puede convertirse en una herramienta para dirigir a una persona propuestas falsas de acuerdos con marcas, avisos de derechos de autor, notificaciones de pago o mensajes de verificación de cuentas.

También están en riesgo los usuarios jóvenes y los miembros de comunidades que utilizan aplicaciones móviles con frecuencia. Este grupo suele registrarse en muchas aplicaciones sociales con la misma dirección de correo electrónico y puede tender a confirmar rápidamente las notificaciones de seguridad. Al combinar la dirección de correo electrónico con el nombre de usuario, es posible deducir en qué comunidades de contenido participa la persona. Esta información no implica por sí sola que se haya tomado el control de una cuenta; sin embargo, puede proporcionar contexto suficiente para realizar ataques de phishing dirigidos, enviar spam, suplantar perfiles y enviar mensajes de soporte falsos.

Los usuarios que vean una coincidencia de MemeChat deben proteger, ante todo, sus cuentas de correo electrónico. La contraseña del correo debe ser única, se debe activar la autenticación de dos factores y se deben cerrar las sesiones desconocidas. Dado que no se verificó la presencia de contraseñas en este registro, no debe suponerse que todas las contraseñas se hayan filtrado; aun así, conviene revisar las notificaciones de seguridad de las cuentas importantes que utilicen la misma dirección de correo electrónico. Se debe actuar con cautela ante los mensajes con enlaces que parezcan proceder de MemeChat o de aplicaciones sociales similares.

El segundo paso es comprobar si se reutiliza el nombre de usuario. Se debe revisar la información de los perfiles de redes sociales, videojuegos, foros y plataformas de creación de contenido abiertos con el mismo nombre de usuario, reducir la visibilidad innecesaria del correo electrónico y tener precaución ante los mensajes de soporte falsos. No se debe responder a correos sobre colaboraciones con marcas, monetización, premios, reclamaciones de derechos de autor o amenazas de cierre de cuentas sin verificarlos a través de canales oficiales. Si un mensaje con enlaces solicita que se utilice un formulario de inicio de sesión, se debe acceder al servicio correspondiente directamente desde la barra de direcciones.

Este incidente muestra que, aunque no se filtre la contraseña, la combinación de correo electrónico y nombre de usuario puede utilizarse de forma indebida. Los usuarios deben considerar qué cuentas pueden vincularse entre sí cuando repiten el mismo seudónimo en distintos servicios sociales. Utilizar un correo de contacto independiente para la actividad como creador de contenido, mantener la dirección de correo personal fuera del perfil público y verificar las solicitudes de colaboración a través de un canal distinto reduce el riesgo a largo plazo. Un gestor de contraseñas y la autenticación de dos factores son medidas esenciales para evitar que un problema de seguridad en la cuenta de correo electrónico se propague a otras cuentas.

El principio de minimización de datos es importante para los proveedores de servicios. Las aplicaciones de comunidades y contenido no deben duplicar innecesariamente ni siquiera campos aparentemente sencillos, como el correo electrónico y el nombre de usuario. También deben limitar los permisos de acceso y comprobar periódicamente que las listas de datos no sean accesibles en sistemas expuestos al exterior. Las notificaciones al usuario deben ser claras: deben explicar qué campos de datos se han visto afectados, cuáles no y qué medidas debe tomar el usuario. Dar la falsa impresión de que se han filtrado contraseñas es tan problemático como ofrecer advertencias insuficientes.

Si ve una coincidencia de MemeChat en LeakData, considérela una filtración de 2022 de una plataforma de contenido social, centrada en direcciones de correo electrónico y nombres de usuario. Una coincidencia no significa que su contraseña esté incluida en este registro. La prioridad es proteger su cuenta de correo electrónico, revisar los perfiles sociales en los que utiliza el mismo nombre de usuario y actuar con cautela ante los mensajes de verificación falsos que lleguen a su bandeja de entrada. Si su cuenta de MemeChat sigue activa, revise la configuración de la cuenta, el correo electrónico vinculado y la información visible de su perfil.

La medida más práctica ante este registro es realizar comprobaciones de seguridad centradas en su dirección de correo electrónico. Utilice una contraseña segura y única para su cuenta de correo, active la autenticación de dos factores y revise las opciones de recuperación. Busque perfiles falsos o posibles suplantaciones en las cuentas donde utiliza el mismo nombre de usuario. Si recibe una oferta de una marca, una notificación sobre cómo ganar dinero, una advertencia de derechos de autor o un mensaje de cierre de cuenta que resulte sospechoso, verifíquelo a través de canales oficiales sin hacer clic en el enlace. En las organizaciones, también es necesario que los empleados no confundan los correos que utilizan en aplicaciones sociales personales con sus cuentas de trabajo y que reciban formación periódica sobre el phishing por correo electrónico.