Foros de MRA-Racing.org

Los principales tipos de datos que pueden verificarse en esta filtración son direcciones de correo electrónico, nombres de usuario y datos de contraseñas. Que los datos de las contraseñas estén disponibles como hashes MD5 con sal no significa que las contraseñas se hayan difundido como texto legible; sin embargo, MD5 se considera débil según los estándares de seguridad actuales, y los atacantes pueden someter los hashes obtenidos a numerosas pruebas en sus propios sistemas. Si la contraseña de la cuenta del foro es corta, predecible, una palabra antigua que figure en un diccionario o una contraseña que también se usa en otros servicios, aumenta la posibilidad de averiguarla. La presencia conjunta de la dirección de correo electrónico y el nombre de usuario también proporciona a los atacantes más contexto para enviar mensajes dirigidos, realizar intentos de phishing relacionados con el foro e intentar aprovechar los procesos de restablecimiento de contraseñas. Como los foros de MRA-Racing.org están vinculados a una afición concreta y a una comunidad de competición, estos datos pueden utilizarse en ataques de ingeniería social como detalles que refuercen la confianza. El atacante puede enviar al usuario notificaciones falsas que aparenten estar relacionadas con la pertenencia al foro, eventos de competición, cuotas de afiliación, mensajes antiguos o anuncios de la comunidad. Por este motivo, no debe considerarse que el riesgo se limita a la cuenta del foro; también deben revisarse las cuentas de correo electrónico, redes sociales, pagos, tiendas, juegos y comunidades que utilicen la misma combinación de correo electrónico y contraseña.

El número de registros verificado para el subconjunto de los foros de MRA-Racing.org es de 14 619 direcciones de correo electrónico únicas. Esta cifra se basa en el recuento de direcciones de correo electrónico identificadas por separado en el archivo del foro de MRA al enumerar los distintos foros vBulletin incluidos en el mismo incidente de gran alcance. Este registro no implica que se hayan visto afectados todos los visitantes del sitio web principal de MRA, los titulares de licencias de competición, los miembros que pagan cuotas o los asistentes a eventos. Las pruebas disponibles se limitan a los datos de las cuentas del foro. Por tanto, al interpretar el alcance total para este dominio, deben tenerse en cuenta dos límites distintos. En primer lugar, no hay pruebas directas de una vinculación adicional entre los datos del foro y los procesos oficiales de organización de carreras o de pago. En segundo lugar, que la información de las contraseñas filtradas esté en formato hash no significa que todas las contraseñas puedan leerse de inmediato; el riesgo aumenta cuando se eligen contraseñas débiles o se reutiliza la misma contraseña en otros servicios. En cuanto a la fecha, el incidente se remonta a enero de 2017 y está relacionado con una oleada de ataques a gran escala contra instalaciones antiguas de vBulletin. La vinculación del dominio MRA-Racing.org con la comunidad de motociclismo de velocidad y el uso de foros también concuerda con el contenido del sitio oficial; sin embargo, esta verificación no amplía el alcance de la filtración más allá de los datos del foro.

El grupo de mayor riesgo lo forman los usuarios que reutilizan en otros servicios la contraseña de su cuenta en los foros de MRA-Racing.org. Si la misma combinación de correo electrónico y contraseña se usa en una cuenta de correo electrónico, un perfil de redes sociales, un sitio de compras, la inscripción en un evento de competición u otro foro, los atacantes pueden intentar acceder a otras cuentas mediante intentos de inicio de sesión automatizados. El segundo grupo de riesgo lo forman las personas que vinculan su nombre de usuario del foro con su nombre real, número de competición, cuenta de redes sociales o identidad conocida dentro de la comunidad. Esta relación puede hacer que los mensajes de phishing parezcan más creíbles. El tercer grupo de riesgo lo forman quienes llevan mucho tiempo sin utilizar sus antiguas cuentas del foro, pero siguen usando activamente la misma dirección de correo electrónico; las cuentas olvidadas suelen quedar fuera de los cambios periódicos de contraseña y de las revisiones de seguridad. Los usuarios vinculados a la comunidad de motociclismo de competición también deben estar atentos a los mensajes fraudulentos sobre eventos, afiliaciones, donaciones, acceso al foro o soporte técnico. Estos mensajes pueden incluir detalles aparentemente correctos sobre su antigua pertenencia al foro. En lugar de confiar en el enlace del mensaje, el usuario debe abrir el sitio correspondiente escribiendo su dirección en el navegador e iniciar el proceso de restablecimiento de contraseña únicamente desde la pantalla oficial de inicio de sesión.

El primer paso para los usuarios cuyos datos coincidan con este registro es asegurarse de que la contraseña utilizada en la cuenta de los foros de MRA-Racing.org no siga siendo válida en ningún otro servicio. Si se utiliza la misma contraseña, o una similar, en otras cuentas, debe establecerse una contraseña única y segura para cada servicio. La cuenta de correo electrónico tiene especial prioridad, ya que, si se ve comprometida, también se puede perder el control de los enlaces de restablecimiento de contraseña de otros servicios. Conviene utilizar un gestor de contraseñas que genere contraseñas aleatorias y largas al cambiarlas, y no deben reutilizarse patrones de contraseñas antiguas con pequeñas modificaciones. El segundo paso es activar la verificación en dos pasos en todas las cuentas importantes que la admitan. Las cuentas de correo electrónico, redes sociales, servicios financieros y compras, así como los paneles de administración de comunidades, deben encabezar esta lista. El tercer paso es revisar la bandeja de entrada en busca de mensajes sospechosos sobre el foro, la organización de carreras, la renovación de la afiliación, el soporte técnico o las alertas de seguridad. No deben abrirse los archivos adjuntos de estos mensajes ni seguirse enlaces acortados; tampoco debe accederse directamente desde el enlace a páginas que soliciten iniciar sesión. También deben revisarse los registros del gestor de contraseñas; las cuentas de foros antiguos o afiliaciones que ya no se utilicen y que conserven la misma contraseña deben cerrarse o actualizarse.

La lección a largo plazo de este incidente es que las cuentas de los foros deben someterse a controles periódicos de seguridad, al igual que las cuentas principales de correo electrónico y de servicios financieros. Los sitios antiguos de comunidades pueden seguir siendo valiosos para los atacantes incluso años después, porque los usuarios pueden reutilizar las contraseñas del foro en otras cuentas o seguir utilizando sus antiguas direcciones de correo electrónico. Para los usuarios, la estrategia más sólida consiste en utilizar una contraseña única para cada cuenta, revisar periódicamente las contraseñas débiles y duplicadas guardadas en el gestor de contraseñas y mantener activada la verificación en dos pasos en las cuentas críticas. Para los administradores de comunidades, es importante mantener actualizado el software del foro, eliminar los complementos antiguos, añadir protección adicional al panel de administración, actualizar el algoritmo de hash de contraseñas para ajustarlo a los estándares modernos y comunicar los incidentes sin demora. En los sistemas de foros, los hashes de las contraseñas deben almacenarse con algoritmos robustos, y las cuentas de los administradores deben protegerse con una autenticación independiente y sólida. Los usuarios no deben dejar sus cuentas antiguas como un foco de riesgo olvidado; deben cerrar las cuentas de los foros que ya no utilicen, y las que deban permanecer activas deben contar con direcciones de correo electrónico actualizadas y contraseñas seguras. Este enfoque reduce considerablemente la posibilidad de que una única filtración de un foro afecte a otros servicios.

Una coincidencia con el registro de los foros de MRA-Racing.org indica que la dirección de correo electrónico correspondiente figura entre los datos de las cuentas de este subconjunto del foro. El usuario debe intentar recordar primero qué contraseña utilizó en el pasado en este foro y actualizar, una por una, todas las cuentas en las que pueda haber utilizado la misma contraseña. No basta con restablecer la contraseña antigua cambiando solo unos pocos caracteres; debe elegirse una contraseña larga y completamente distinta para cada cuenta. Deben revisarse los inicios de sesión recientes de la cuenta de correo electrónico, las reglas de reenvío, las direcciones de recuperación y los dispositivos no reconocidos. Si hay una sesión sospechosa, debe cerrarse la sesión en todos los dispositivos y revisarse la configuración de seguridad. Si un mensaje relacionado con el foro o la comunidad de competición solicita un pago, un inicio de sesión o un restablecimiento de contraseña con urgencia, el usuario debe comprobar primero la barra de direcciones, escribir personalmente el nombre del dominio oficial y no confiar en los enlaces del mensaje. Aunque el alcance de este registro se limita a los datos de las cuentas del foro, el impacto puede extenderse a otros servicios debido a la frecuencia con la que se reutilizan las contraseñas. Por tanto, la coincidencia con el registro debe considerarse una advertencia práctica para revisar todo el conjunto de cuentas digitales, no únicamente la antigua cuenta del foro.