Filtración de datos de MoDaCo de 2016

En este incidente, las categorías de datos verificadas son direcciones de correo electrónico, direcciones IP, contraseñas y nombres de usuario. Cuando el correo electrónico y el nombre de usuario aparecen juntos, aumenta el riesgo de vincular a la persona con distintos foros de Android, comunidades de desarrollo para dispositivos o cuentas en redes sociales. Las direcciones IP pueden aportar información limitada sobre la ubicación aproximada de las conexiones y el contexto de sesiones anteriores. Dado que el campo de contraseña se describe como hashes MD5 con sal, no se ha establecido que haya contraseñas en texto plano; sin embargo, los hashes basados en MD5 pueden aumentar el riesgo de que se descifren las contraseñas de quienes no utilizan contraseñas robustas.

Es habitual utilizar el mismo nombre de usuario durante años en las comunidades de los foros. Por ello, el registro de MoDaCo no debe verse únicamente como una antigua cuenta de foro. Si la persona ha utilizado el mismo correo electrónico y el mismo patrón de contraseña en foros de desarrolladores de Android, cuentas de correo electrónico, redes sociales o sitios de compras, los atacantes pueden intentar usar esta información en otros servicios. En el caso de los aficionados a la tecnología móvil, las cuentas antiguas de foros también pueden vincularse con información indirecta del perfil, como el modelo del dispositivo, las preferencias de ROM o la identidad como desarrollador. Esta combinación puede hacer que los mensajes dirigidos a esas personas resulten más convincentes.

La fecha del incidente verificado se sitúa aproximadamente en enero de 2016 y figura en el sistema con el 1 de enero de 2016 como fecha de referencia dentro de ese año. La fecha de incorporación del registro y de modificación de la fuente es el 20 de septiembre de 2016. El número total de cuentas verificadas es de 879 703. Las categorías de datos se limitan a direcciones de correo electrónico, direcciones IP, nombres de usuario y hashes MD5 de contraseñas con sal. En este registro no se ha verificado la presencia de números de teléfono, direcciones físicas, tarjetas de pago, fechas de nacimiento, nombres reales ni contenido de mensajes privados.

Comprender correctamente el alcance permite tomar medidas de seguridad concretas en lugar de generar alarma innecesaria. Una coincidencia positiva no demuestra que el dispositivo Android, la cuenta de desarrollador o la información de pago de la persona se hayan visto comprometidos. El incidente está relacionado con los datos de suscripción y de las cuentas del foro MoDaCo. Sin embargo, si la contraseña utilizada en la cuenta del foro se repite en otros servicios, el riesgo aumenta. Lo adecuado es dejar de utilizar el mismo patrón de contraseña, reforzar la seguridad de la cuenta de correo electrónico y revisar cómo se vincula la antigua identidad del foro con otras cuentas.

El grupo de mayor riesgo incluye a quienes han registrado una cuenta en el foro MoDaCo y mantienen el mismo nombre de usuario en comunidades de desarrollo para dispositivos Android o de tecnología móvil. Los desarrolladores, los aficionados a las ROM, los usuarios activos en comunidades de modificación de dispositivos y las personas que utilizan la misma dirección de correo electrónico en distintos foros corren un mayor riesgo de vinculación de perfiles. La información de la dirección IP y del nombre de usuario, combinada con la actividad anterior en el foro, puede aportar pistas indirectas sobre los intereses técnicos de una persona.

Quienes reutilizan contraseñas corren un riesgo adicional. Los hashes MD5 con sal pueden seguir siendo débiles, especialmente cuando las contraseñas son cortas y predecibles. Si se ha utilizado la misma contraseña en una cuenta de correo electrónico, en redes sociales, en herramientas de desarrollo o en cuentas de compras, una antigua filtración de un foro puede afectar a las cuentas actuales. Los mensajes falsos sobre Android o tecnología móvil pueden parecer más creíbles si incluyen información de la antigua pertenencia al foro y nombres de usuario. Por ello, quien obtenga una coincidencia positiva debe evaluar tanto la seguridad de sus contraseñas como la vinculación de su identidad del foro con otras cuentas.

Quienes tengan credenciales incluidas en este registro deben dejar de considerar segura la contraseña utilizada en su cuenta de MoDaCo. Si utilizan la misma contraseña o una similar en otras cuentas, deben elegir una contraseña única para cada servicio. La prioridad debe ser proteger las cuentas de correo electrónico, las cuentas de desarrollador, las redes sociales, los foros y los servicios que impliquen pagos. Se debe activar la autenticación multifactor en las cuentas que la admitan, cerrar las sesiones activas y comprobar el correo electrónico o el número de teléfono de recuperación. No basta con hacer pequeños cambios en una contraseña antigua.

Conviene actuar con cautela ante los mensajes del foro de Android sobre actualizaciones de dispositivos, archivos de ROM personalizadas, cuentas de desarrollador o seguridad de la cuenta. Los mensajes que incluyan un nombre de usuario real o una antigua dirección de correo electrónico no deben considerarse fiables por ese motivo. Los enlaces de descarga de archivos, las páginas de inicio de sesión falsas y las solicitudes de verificación de cuentas deben comprobarse por un canal independiente. Dado que también hay información de direcciones IP, se deben examinar por separado las alertas inesperadas de inicio de sesión desde otras regiones o las sesiones de dispositivos desconocidos en las cuentas.

A largo plazo, utilizar una dirección de correo electrónico independiente y una contraseña única para las cuentas de foros y comunidades técnicas ofrece una buena protección. Mantener el mismo nombre de usuario en todas las plataformas puede ser cómodo, pero aumenta el riesgo de vinculación de perfiles. Conviene revisar periódicamente las cuentas antiguas de foros de Android, los perfiles de desarrollador y la pertenencia a comunidades. Reducir los datos personales de las cuentas que ya no se utilizan o cerrar esas cuentas disminuye el impacto del riesgo.

Utilizar un gestor de contraseñas facilita la creación de contraseñas robustas para cada cuenta de foro y cada cuenta técnica. Se debe activar la autenticación multifactor en las cuentas de correo electrónico y mantener actualizados los canales de recuperación. En las comunidades de tecnología móvil también hay que extremar la precaución con las descargas de archivos y los enlaces de inicio de sesión; por ello, conviene desconfiar de las ROM, las herramientas o los archivos de verificación de cuentas que procedan de enlaces desconocidos. Las antiguas filtraciones de foros pueden utilizarse para intentar reutilizar contraseñas y enviar mensajes dirigidos incluso años después.

Una coincidencia en este registro indica que la dirección de correo electrónico o la cuenta asociada se encuentra entre las cuentas verificadas del conjunto de datos de MoDaCo. La coincidencia no demuestra que el número de teléfono, la dirección física, la información de pago o el contenido de mensajes privados estén presentes en este conjunto de datos. Los campos verificados son direcciones de correo electrónico, direcciones IP, nombres de usuario y hashes MD5 de contraseñas con sal. Es importante comprender esta limitación, dejar de reutilizar contraseñas y revisar la antigua identidad utilizada en el foro.

El primer paso es identificar las cuentas en las que se han utilizado el mismo correo electrónico y patrones de contraseña similares. Después, se deben establecer contraseñas únicas para la cuenta de correo electrónico, los foros de Android, las cuentas de desarrollador y los perfiles de redes sociales; también se debe activar la autenticación multifactor y revisar las sesiones activas. Los mensajes de la comunidad de Android sobre actualizaciones de dispositivos o seguridad de la cuenta deben verificarse por un canal independiente. Este registro presenta los campos de datos verificados sin exageraciones y ofrece medidas concretas frente a los riesgos relacionados con las cuentas de foros, la gestión de contraseñas y la vinculación de perfiles.