MtGox Filtración de datos

Los principales tipos de datos de este registro son direcciones de correo electrónico, nombres de usuario, números de cuenta y hashes de contraseñas. Aunque una dirección de correo electrónico por sí sola puede parecer de bajo riesgo, al vincularla con una antigua cuenta de una plataforma de intercambio se obtiene un punto de partida sólido para campañas de phishing dirigidas, anuncios de reembolso falsos, mensajes de soporte falsos y fraudes relacionados con criptomonedas. Los nombres de usuario y los números de cuenta permiten a un atacante enviar mensajes que resulten más convincentes para la víctima, hacerse pasar por el titular de una antigua cuenta de la plataforma o buscar el mismo nombre de usuario en otros servicios. Los hashes de contraseñas no equivalen a contraseñas en texto plano; sin embargo, las contraseñas antiguas y débiles pueden suponer un riesgo, especialmente si se utilizaron métodos de hash que ya eran fáciles de romper en aquella época. Si la misma contraseña se ha reutilizado en distintas cuentas de plataformas de intercambio, correo electrónico, foros o servicios de pago, el incidente puede facilitar intentos de apropiación de cuentas incluso años después.

El alcance verificado se limita a los datos de cuentas que quedaron expuestos desde la base de datos de usuarios de MtGox en 2011. Se considera que el número de registros es de 42 163, ya que los índices de filtraciones disponibles vinculan directamente esta cifra con el nombre de dominio de MtGox y con junio de 2011. Los relatos de la época respaldan que, tras el acceso a la base de datos, se difundieron datos de inicio de sesión de las cuentas, direcciones de correo electrónico y contraseñas cifradas. En cambio, este registro no corresponde a la pérdida de criptoactivos que llevó a la quiebra de MtGox en 2014, a las cantidades de Bitcoin presuntamente robadas de las billeteras de la plataforma ni al proceso de los acreedores. Esta distinción es importante: la filtración de datos de usuarios supone un riesgo para la seguridad de las cuentas personales, mientras que el caso de 2014 es un suceso distinto que debe examinarse por separado, en el contexto de las reservas de la plataforma y del colapso de sus operaciones.

El grupo de mayor riesgo está formado por quienes abrieron una cuenta de MtGox durante 2011, mantuvieron la misma dirección de correo electrónico durante mucho tiempo y reutilizaron su contraseña en otros servicios. Quienes utilizan el mismo alias en comunidades de criptomonedas también afrontan un riesgo adicional, ya que ese nombre de usuario puede vincularse con otros foros, plataformas de intercambio o cuentas en redes sociales. Los antiguos titulares de cuentas deben tener precaución ante mensajes falsos sobre reembolsos, registros de acreedores, verificaciones de billeteras o soporte que aparezcan años después. Estos mensajes pueden inspirar confianza al hacer referencia a hechos reales del pasado y dirigir al usuario a páginas de inicio de sesión falsas. Incluso si la dirección de correo electrónico ya no está activa, las cuentas abiertas anteriormente con esa misma dirección pueden convertirse en objetivos de intentos de acceso mediante credenciales debido a la reutilización de contraseñas. Por tanto, no debe considerarse que el riesgo se limita a la cuenta de MtGox: conviene evaluar conjuntamente todas las cuentas críticas en las que se hayan utilizado la misma dirección de correo electrónico y las mismas contraseñas.

Si su dirección de correo electrónico figura en este registro, el primer paso debería ser identificar todas las cuentas en las que todavía utiliza la antigua contraseña de MtGox o contraseñas similares. Las comprobaciones prioritarias deben centrarse en la cuenta de correo electrónico, las plataformas de intercambio de criptomonedas, los servicios financieros, el gestor de contraseñas, el almacenamiento en la nube y las cuentas en redes sociales. Las contraseñas reutilizadas deben sustituirse por contraseñas únicas y largas. Siempre que sea posible, conviene activar un segundo factor de autenticación sólido, como una aplicación de autenticación o una llave de seguridad física. En la cuenta de correo electrónico deben revisarse las reglas, los reenvíos, las direcciones de recuperación y el historial de inicio de sesión; también deben cerrarse las sesiones que no se reconozcan. Ante mensajes sobre devoluciones, demandas judiciales, reembolsos o comprobaciones de billeteras que utilicen el nombre de MtGox, examine cuidadosamente el dominio antes de hacer clic en cualquier enlace y no comparta bajo ninguna circunstancia la contraseña o la frase de recuperación que le soliciten.

Aunque este incidente parezca antiguo, sigue entrañando riesgos a largo plazo debido a la reutilización de contraseñas y al fraude dirigido a usuarios de criptomonedas. Los usuarios deberían emplear contraseñas únicas en todas sus cuentas críticas, generar contraseñas seguras y aleatorias con un gestor de contraseñas y considerar las credenciales utilizadas en antiguas cuentas de plataformas de intercambio y foros como un grupo de riesgo separado. Las direcciones de correo electrónico asociadas a criptoactivos deberían mantenerse separadas en la medida de lo posible; conviene evitar el uso de una misma dirección para inversiones, plataformas de intercambio, billeteras y comunicaciones cotidianas. Las opciones de recuperación de cuentas deberían revisarse periódicamente, y deberían eliminarse los números de teléfono antiguos y las direcciones de correo electrónico que ya no se utilicen. En el ámbito empresarial, las direcciones de correo electrónico de empleados incluidas en antiguas filtraciones de plataformas de intercambio de criptomonedas pueden contemplarse como casos específicos en la formación sobre phishing. De este modo, se puede detectar una filtración pasada antes de que dé lugar a una cadena de accesos en la actualidad.

Encontrar una coincidencia en este registro no significa que los criptoactivos de la persona hayan sido robados directamente; la coincidencia indica que su dirección de correo electrónico o los datos de su cuenta podrían figurar entre los datos del incidente de 2011 que afectó a la base de datos de usuarios. Aun así, el riesgo debe tomarse en serio, porque la combinación de hashes de contraseñas antiguas, contraseñas reutilizadas y campañas de phishing relacionadas con criptomonedas puede aumentar el impacto en la seguridad de las cuentas. El usuario debería elaborar una lista de las cuentas críticas abiertas con la misma dirección de correo electrónico, dejar de reutilizar contraseñas, reforzar la protección de dos factores y actuar con cautela ante mensajes que hagan referencia al pasado de MtGox. Se recomienda a las organizaciones que, cuando las direcciones de correo electrónico de sus empleados aparezcan en este registro, no se fijen únicamente en la cifra de coincidencias: este registro constituye un control adicional para evaluar el acceso de la persona a cuentas financieras, sus funciones con privilegios elevados en los sistemas y el riesgo de reutilización de contraseñas.