Filtración de datos de MobiFriends de 2020

En este incidente, las categorías de datos verificadas son fechas de nacimiento, direcciones de correo electrónico, género, contraseñas y nombres de usuario. Los números de teléfono, las direcciones físicas, las tarjetas de pago, el contenido de los mensajes privados y la información de ubicación exacta no figuran entre los campos verificados de este registro. Cuando el correo electrónico y el nombre de usuario aparecen juntos, aumenta el riesgo de vincularlos con otras cuentas en redes sociales. El género y la fecha de nacimiento aportan información adicional sobre el perfil del usuario en el contexto de una aplicación de citas. Los hashes MD5 de las contraseñas aumentan el riesgo de que se descifren las contraseñas o se prueben en otros servicios, en el caso de quienes utilizan contraseñas débiles.

Los datos de las aplicaciones de citas tienen especial importancia para la privacidad. Aunque el usuario haya abierto la cuenta hace mucho tiempo, la combinación de dirección de correo electrónico, nombre de usuario, género y fecha de nacimiento puede ayudar a identificarlo. Los atacantes pueden contactar con el usuario mediante mensajes falsos de citas, alertas de seguridad de la cuenta, solicitudes de verificación del perfil o avisos de cierre de una cuenta antigua. La presencia de hashes de contraseñas aumenta aún más el riesgo si se utiliza la misma contraseña o un patrón similar en otras cuentas. Por ello, este registro requiere precaución tanto en materia de seguridad de la cuenta como de privacidad personal.

La fecha verificada del incidente es el 6 de enero de 2020, y la fecha de incorporación del registro y de cambio de la fuente es el 23 de mayo de 2021. El número de direcciones de correo electrónico únicas es de 3 512 952. Las categorías de datos se limitan a fecha de nacimiento, dirección de correo electrónico, género, contraseña y nombre de usuario. El campo de contraseña debe interpretarse como hashes MD5. En este registro, el número de teléfono, la dirección física, la información de pago, los mensajes privados, las fotos, la ubicación en tiempo real y los documentos de identidad no figuran entre las categorías de datos verificadas.

Interpretar correctamente el alcance es importante para las recomendaciones que se deben ofrecer al usuario. Una coincidencia positiva no demuestra que todo el contenido del perfil de citas del usuario o sus mensajes privados estén presentes en este conjunto de datos. Aun así, la fecha de nacimiento, el género, el nombre de usuario, el correo electrónico y los hashes de contraseñas, en conjunto, conforman un perfil suficientemente sensible. El uso de la aplicación para buscar citas tiene un mayor impacto en la privacidad que una cuenta en un foro común. Por ello, el registro debe marcarse como datos sensibles, y el usuario debe recibir recomendaciones tanto sobre las contraseñas como sobre la privacidad del perfil.

El grupo con mayor riesgo está formado por las personas que abrieron una cuenta en MobiFriends y utilizaron la misma dirección de correo electrónico en otras cuentas de aplicaciones de citas o redes sociales. Quienes usan el mismo nombre de usuario en distintas plataformas tienen un mayor riesgo de que se vinculen sus perfiles. Los campos de fecha de nacimiento y género pueden contribuir a que los mensajes falsos parezcan personalizados. Los usuarios que han olvidado sus cuentas antiguas también están en riesgo, ya que pueden haber seguido utilizando en otros servicios los patrones de contraseñas empleados años atrás.

Las personas que reutilizan contraseñas corren un riesgo adicional. Como los hashes MD5 no se consideran robustos, las contraseñas débiles pueden adivinarse con mayor facilidad. Si el usuario ha utilizado la misma contraseña en cuentas de correo electrónico, redes sociales, mensajería, compras o servicios financieros, una filtración anterior de MobiFriends podría afectar a la seguridad de sus cuentas actuales. El contexto de la aplicación de citas también puede aprovecharse para avergonzar al usuario, establecer una comunicación romántica falsa, amenazar con tomar el control de la cuenta o enviar mensajes que soliciten información personal. Por ello, quien encuentre una coincidencia positiva debe revisar no solo la contraseña, sino también la privacidad de sus comunicaciones y la visibilidad de sus perfiles sociales.

Si encuentra una coincidencia en este registro, debe considerar insegura la contraseña que pudiera haber utilizado en su cuenta de MobiFriends. Si utiliza la misma contraseña o una similar en otros servicios, debe elegir una contraseña única para cada cuenta. Dé prioridad a las cuentas de correo electrónico, redes sociales, mensajería, aplicaciones de citas y cuentas vinculadas a medios de pago. Active la autenticación multifactor en las cuentas que la admitan, cierre las sesiones activas y revise la información de recuperación. No basta con conservar la contraseña antigua e introducir pequeños cambios.

Tenga precaución con los mensajes relacionados con aplicaciones de citas o cuentas antiguas. No considere fiables los mensajes por el hecho de que contengan datos reales sobre su correo electrónico, nombre de usuario, fecha de nacimiento o género. No haga clic en enlaces de mensajes sobre verificación del perfil, cierre de la cuenta, notificaciones de compatibilidad, alertas de seguridad o amenazas relacionadas con fotos privadas; compruebe su autenticidad escribiendo manualmente la dirección conocida del servicio. No envíe pagos, no comparta códigos de verificación ni facilite información personal en respuesta a mensajes sospechosos.

A largo plazo, utilizar un correo electrónico distinto del de la cuenta principal para las aplicaciones de citas y redes sociales reduce los riesgos para la privacidad. Usar el mismo nombre de usuario en todas las plataformas puede resultar cómodo, pero aumenta el riesgo de que se vinculen los perfiles. Revise periódicamente sus cuentas antiguas de aplicaciones de citas, reduzca la información visible en los perfiles que ya no utiliza y cierre la cuenta si es posible. Campos como la fecha de nacimiento, el género y el nombre de usuario pueden parecer poco importantes, pero, al combinarse con otros conjuntos de datos, pueden ayudar a identificar a una persona.

La seguridad de las contraseñas exige un hábito constante. Utilizar un gestor de contraseñas facilita la generación de contraseñas únicas para cada cuenta de citas y redes sociales. Mantenga activada la autenticación multifactor en su cuenta de correo electrónico, conserve actualizados los canales de recuperación y preste atención a las alertas de inicio de sesión inesperadas. Las filtraciones de aplicaciones de citas pueden afectar a la privacidad independientemente de los datos financieros. Por ello, la estrategia de seguridad no debe limitarse a cambiar la contraseña; también debe revisar periódicamente la visibilidad de sus perfiles, las conexiones en redes sociales y los canales de comunicación.

Una coincidencia en este registro indica que la dirección de correo electrónico figura entre las direcciones verificadas del conjunto de datos de MobiFriends. La coincidencia no demuestra que el número de teléfono, la dirección física, la tarjeta de pago, los mensajes privados o las fotos estén incluidos en este conjunto de datos. Los campos verificados son fecha de nacimiento, dirección de correo electrónico, género, hashes MD5 de contraseñas y nombres de usuario. Al interpretar correctamente este límite, el usuario debe dejar de reutilizar contraseñas y evaluar el riesgo para la privacidad en el contexto de la aplicación de citas.

El primer paso es identificar las cuentas que utilizan el mismo correo electrónico y patrones de contraseñas similares. A continuación, adopte contraseñas únicas para sus cuentas de correo electrónico, redes sociales, aplicaciones de citas y mensajería, active la autenticación multifactor y revise las sesiones activas. Los mensajes sobre cuentas antiguas de citas relacionados con la verificación del perfil o las alertas de seguridad deben verificarse por un canal independiente. Este registro presenta los campos de datos verificados sin exageraciones y ofrece al usuario medidas concretas para proteger sus contraseñas y la privacidad de su perfil, y hacer frente a los riesgos de ingeniería social.