MrExcel Filtración de datos

Los campos de datos expuestos en esta filtración presentan distintos niveles de riesgo. Las direcciones de correo electrónico y los nombres de usuario ayudan a los atacantes a vincular al usuario con una cuenta de MrExcel y a preparar mensajes que parezcan personalizados. Las direcciones IP pueden asociarse con la ubicación aproximada de la conexión y con información sobre el proveedor de servicios; por sí solas no permiten identificar a una persona, pero, combinadas con otros datos, pueden facilitar la elaboración de perfiles. Las fechas de nacimiento son datos personales que pueden utilizarse en restablecimientos de contraseñas, intentos de adivinar respuestas a preguntas de seguridad e intentos de ingeniería social. Los vínculos sociales y la actividad en el sitio pueden aportar contexto sobre las relaciones dentro del foro, los hábitos de mensajería anteriores o el comportamiento del usuario. El campo más crítico es el de las contraseñas. Que las contraseñas se encuentren como hashes MD5 con sal no significa que se hayan publicado directamente en texto claro; sin embargo, como MD5 es vulnerable a ataques que prueban posibles contraseñas a gran velocidad, las contraseñas cortas, predecibles o utilizadas anteriormente pueden averiguarse. Si la misma contraseña sirve para el correo electrónico, una cuenta de trabajo, el almacenamiento en la nube, las redes sociales, las compras u otros foros, una sola filtración de un foro puede convertirse en un riesgo mucho más amplio de que otras cuentas se vean comprometidas.

La cifra verificada es de 366 140 cuentas. Se ha verificado que la fecha del incidente fue el 5 de diciembre de 2016 y que la fecha de registro fue el 22 de enero de 2017. El alcance se refiere a los datos de los miembros del foro de MrExcel; por tanto, no debe suponerse que todos los visitantes de MrExcel, lectores de contenido o clientes de la tienda se vieron afectados de la misma manera. La notificación oficial aclara expresamente que los datos de las cuentas de la tienda no se vieron afectados por este incidente. En cuanto al foro, se indicó que se había accedido al identificador de usuario, la dirección de correo electrónico y los datos de contraseña en formato hash+salt, y que también era visible cierta información de actividad procedente de inicios de sesión recientes, recuentos de publicaciones y otras áreas administrativas similares. Otros registros de verificación también enumeraron campos como la fecha de nacimiento, la dirección IP, los vínculos sociales, los nombres de usuario y la actividad en el sitio, por lo que estos campos se conservaron en el registro. Esta distinción es importante: una afirmación demasiado amplia en un registro de filtración induce a error al usuario, mientras que omitir un campo de datos oculta el riesgo real. El caso de MrExcel debe entenderse como una filtración centrada en las cuentas del foro, con riesgo de que se averigüen las contraseñas debido a un algoritmo de hash débil y con la posibilidad de una toma de control de cuentas en cadena para quienes usan la misma contraseña en distintos servicios.

El grupo de mayor riesgo está formado por quienes tenían una cuenta en el foro de MrExcel antes de diciembre de 2016 y también utilizaban la misma contraseña en otros servicios. Este grupo incluye a quienes crearon una cuenta en el foro hace tiempo para obtener ayuda con Excel, pero llevan años sin iniciar sesión, ya que las contraseñas de cuentas olvidadas suelen permanecer sin cambios en los gestores de contraseñas. El segundo grupo de riesgo está formado por quienes utilizan su correo electrónico laboral en la cuenta del foro. Las personas que tienen una cuenta en el foro con una dirección de correo electrónico corporativa pueden recibir mensajes de phishing más convincentes sobre archivos de Excel, macros, procesos de elaboración de informes o documentos de trabajo. El tercer grupo de riesgo está formado por quienes utilizan su fecha de nacimiento o su nombre de usuario con el mismo formato en otros sitios. Esta información puede utilizarse en intentos de adivinar las respuestas a preguntas de recuperación de cuentas o de ganarse la confianza del usuario mediante mensajes falsos de soporte. Quienes participan activamente en el foro, hacen preguntas con frecuencia, descargan complementos o comparten vínculos sociales en su perfil pueden tener una mayor exposición. En comunidades de soporte técnico como MrExcel, los usuarios suelen dar pistas sobre su flujo de trabajo, su sector o las herramientas que utilizan. Por ello, los atacantes pueden realizar intentos más dirigidos utilizando no solo la contraseña, sino también el contexto del comportamiento del usuario.

Los usuarios cuya información coincida con este registro deben primero recordar qué contraseña utilizaban en el foro de MrExcel y cambiarla en todas las cuentas en las que usaban la misma contraseña o una similar. Los cambios de contraseña no deben limitarse a la cuenta de MrExcel; también deben revisarse las cuentas de correo electrónico, redes sociales, almacenamiento en la nube, servicios de pago, compras, herramientas de trabajo y otros foros creadas con la misma dirección de correo electrónico. Las nuevas contraseñas deben ser largas, únicas y aleatorias; no debe considerarse suficiente añadir simplemente un número o un símbolo al final de la contraseña anterior. La cuenta de correo electrónico es prioritaria, ya que, si se ve comprometida, también estarán en riesgo los enlaces de restablecimiento de contraseñas de otros servicios. Debe activarse la autenticación de dos factores en todas las cuentas importantes que la admitan. Los usuarios también deben tener cuidado con los mensajes sospechosos sobre MrExcel, archivos de Excel, macros, facturas, solicitudes de soporte, alertas de seguridad o restablecimientos de contraseñas. En lugar de acceder a la pantalla de inicio de sesión mediante enlaces incluidos en el mensaje, deben escribir manualmente la dirección en el navegador o utilizar marcadores de confianza. No deben abrirse archivos adjuntos desconocidos y, en particular, no deben autorizarse archivos de Office que contengan macros. Si una antigua cuenta del foro ya no es necesaria, también debe considerarse la opción de cerrarla o reducir la información del perfil.

El incidente de MrExcel demuestra que las cuentas antiguas de foros pueden tener consecuencias para la seguridad incluso muchos años después. A largo plazo, todos los usuarios deben trasladar las credenciales de todas sus cuentas, incluidas las de los foros, a un gestor de contraseñas y eliminar por completo la reutilización de contraseñas. Puede recurrirse a las herramientas de comprobación del gestor de contraseñas para revisar periódicamente si se utiliza la misma contraseña en distintos servicios. También deben separarse las cuentas personales de foros creadas con un correo electrónico laboral; proteger las cuentas laborales y personales con la misma contraseña o el mismo método de recuperación puede trasladar el riesgo al entorno corporativo. Para las cuentas críticas deben preferirse segundos factores más robustos, como la autenticación mediante aplicaciones o las llaves de hardware. La lección también es clara para los administradores de foros y comunidades: el software antiguo del foro y sus complementos deben actualizarse periódicamente, los algoritmos de hash de contraseñas deben sustituirse por otros modernos y de cálculo lento, las cuentas de administrador deben mantenerse separadas y contar con protección adicional, y no debe demorarse la notificación a los usuarios cuando se sospeche de una filtración. Por su parte, los usuarios no deben dejar fechas de nacimiento, enlaces a redes sociales o información laboral innecesarios en perfiles antiguos de foros. Cuantos menos datos contenga el perfil, menos contexto podrá utilizar un atacante en una futura filtración.

Una coincidencia con el registro de MrExcel indica que la dirección de correo electrónico correspondiente se encontró entre los datos de las cuentas del foro de diciembre de 2016. Primero, determine qué contraseña utilizaba en este foro y, después, actualice una por una todas las cuentas en las que pudo haber utilizado esa misma contraseña en el pasado. Aunque no recuerde la contraseña anterior, considere en riesgo las cuentas creadas durante el mismo período y revise los registros de su gestor de contraseñas. En su cuenta de correo electrónico, compruebe los inicios de sesión recientes, las direcciones de recuperación, las reglas de reenvío y los dispositivos que no reconozca. Si encuentra una sesión sospechosa, cierre la sesión en todos los dispositivos, restablezca la contraseña y active la autenticación de dos factores. Debido a la exposición de las fechas de nacimiento y los nombres de usuario, revise también las preguntas de restablecimiento de contraseñas y utilice respuestas únicas en lugar de otras fáciles de adivinar. Examine con especial cuidado los archivos adjuntos y los enlaces de correos electrónicos que parezcan estar relacionados con Excel, macros, descargas de archivos o mensajes de soporte del foro. Esta filtración no debe considerarse una filtración de cuentas de la tienda ni de información de pago; sin embargo, si reutiliza la contraseña del foro en otros servicios, las consecuencias podrían extenderse más allá del foro. Por tanto, la medida más adecuada es dejar de utilizar la antigua contraseña del foro en cualquier cuenta y emplear una capa adicional de verificación en las cuentas importantes.