Muslim Directory Filtración de datos

Los tipos de datos verificados en este registro incluyen campos de identidad, contacto, dirección, empleador, grupo de edad, actividad en el sitio y contraseña. La dirección de correo electrónico y el número de teléfono pueden utilizarse para contactar directamente con la persona. El nombre y la dirección física pueden hacer más convincentes la correspondencia que suplanta a instituciones, las solicitudes de donaciones, los anuncios de servicios locales o los mensajes fraudulentos relacionados con entregas. El campo del empleador puede ayudar a un atacante a dirigirse a la persona a través de su lugar de trabajo o a preparar intentos de ingeniería social más específicos. El punto más crítico es que las contraseñas figuran en texto plano. Una contraseña en texto plano es un dato de identidad que puede utilizarse directamente, no un hash del que haya que intentar recuperar la contraseña original; por tanto, si se repite la misma contraseña en el correo electrónico, las redes sociales, las plataformas de compras o los sistemas de trabajo, aumenta el riesgo de que alguien tome el control de las cuentas.

La fecha verificada del incidente debe registrarse como el 17 de febrero de 2014; la fecha de incorporación del registro, como el 23 de febrero de 2014; y el número de cuentas afectadas, como 37 784. Algunos informes sobre el mismo incidente mencionan 38 903 credenciales de usuario; la cifra principal que se muestra al usuario se limita a las 37 784 cuentas del registro verificado de la filtración. Las categorías de datos verificadas son grupos de edad, direcciones de correo electrónico, empleadores, nombres, contraseñas, números de teléfono, direcciones físicas y actividad en el sitio. Como no se ha verificado la presencia de datos de tarjetas de pago, cuentas bancarias, documentos de identidad, información de salud ni contenido de mensajes privados en este registro, esos campos no se incluyen. Aunque el incidente lleva el nombre de un directorio religioso, el registro no está clasificado en la categoría de filtraciones sensibles; aun así, es necesario evaluar con cautela los riesgos de acoso dirigido, phishing y presión sobre la reputación.

Entre las personas con mayor riesgo se encuentran quienes tenían una cuenta de Muslim Directory en 2014, utilizaron la misma dirección de correo electrónico durante mucho tiempo y reutilizaron su contraseña en otros servicios. Al estar la contraseña en texto plano, los datos de una antigua cuenta del directorio pueden utilizarse directamente para intentar iniciar sesión en distintas plataformas. Las personas cuya dirección física, número de teléfono e información del empleador se conocen pueden recibir mensajes fraudulentos más personalizados. El riesgo es mayor para propietarios de negocios locales, proveedores de servicios, representantes de la comunidad y usuarios con un perfil visible en el directorio; un atacante puede intentar engañar a la persona a través de sus vínculos comunitarios o comerciales. Para quienes se registraron con un correo electrónico corporativo, el riesgo también puede extenderse a su cuenta de trabajo. Por ello, los usuarios para los que se detecte una coincidencia deben evaluar conjuntamente no solo la antigua cuenta del sitio, sino también todas las cuentas críticas en las que se haya utilizado la misma contraseña, teniendo también en cuenta el historial de uso del correo electrónico.

Si detecta una coincidencia, primero debe intentar recordar la antigua contraseña de su cuenta de Muslim Directory y cambiarla en todas las cuentas que tengan la misma contraseña o una similar. Debe revisar de forma prioritaria las cuentas de correo electrónico, redes sociales, plataformas de compras, servicios en la nube y cuentas de trabajo. Las nuevas contraseñas deben ser únicas, largas y generadas con un gestor de contraseñas. Debe activar la autenticación de dos factores en todos los servicios que la admitan. Si un mensaje hace referencia a números de teléfono, direcciones o información del empleador, debe verificar el nombre de dominio por un canal independiente antes de abrir cualquier enlace. Debe cerrar las sesiones que no reconozca y revisar las reglas de reenvío y filtrado de su cuenta de correo electrónico. No debe compartir contraseñas, códigos de verificación, información de pago ni documentos de identidad en mensajes sospechosos.

Este incidente muestra que incluso las cuentas antiguas de directorios aparentemente poco importantes pueden tener consecuencias graves para la seguridad años después. Los usuarios deben revisar periódicamente sus antiguas cuentas de foros, directorios, comunidades y membresías, cerrar las que ya no utilicen o, al menos, actualizar sus contraseñas. Debe establecerse una contraseña única para cada servicio, y el uso de gestores de contraseñas y de una autenticación de dos factores robusta debe convertirse en una práctica habitual. Evitar el registro en servicios personales con un correo electrónico de trabajo permite separar la cuenta de trabajo de los riesgos de ingeniería social. Si se han filtrado datos como números de teléfono y direcciones físicas, los usuarios deben extremar la cautela ante mensajes relacionados con servicios de entrega, donaciones, servicios locales, instituciones públicas o asuntos de la comunidad. Cuando las organizaciones detecten direcciones de correo electrónico de sus empleados en filtraciones antiguas de este tipo, deben considerar conjuntamente el riesgo de reutilización de contraseñas y la probabilidad de phishing dirigido.

Ver una coincidencia con Muslim Directory en este registro indica que la dirección de correo electrónico asociada puede estar incluida en los datos de cuentas del directorio de 2014. La coincidencia no demuestra que se hayan expuesto datos de tarjetas de pago o información de identificación; el principal riesgo es el posible uso conjunto de contraseñas en texto plano, datos de contacto y campos de dirección. El usuario debe elaborar una lista de las cuentas críticas asociadas a la misma dirección de correo electrónico, dejar de utilizar contraseñas antiguas y reutilizadas, ampliar el uso de la autenticación de dos factores y mantener la cautela ante mensajes de ingeniería social que utilicen información del teléfono o la dirección. Se recomienda a las organizaciones tratar este registro no como una nueva filtración, sino como un antiguo riesgo de alto impacto para la seguridad de las cuentas, originado en 2014 y relacionado con contraseñas en texto plano, y analizar por separado la reutilización de contraseñas.