Muslim Match Filtración de datos

Los tipos de datos confirmados en este registro incluyen campos de nombre de usuario, dirección de correo electrónico, dirección IP, ubicación geográfica, estado del usuario, registros de chat, mensajes privados y contraseña. La dirección de correo electrónico y el nombre de usuario pueden utilizarse para vincular la cuenta con identidades en otras plataformas. La dirección IP y la información de ubicación aportan contexto adicional a los atacantes que buscan deducir la zona general del usuario o sus hábitos de acceso. El riesgo más delicado reside en los mensajes privados y los registros de chat: estos contenidos pueden incluir detalles íntimos sobre la búsqueda de pareja, las preferencias personales, la situación familiar o las expectativas religiosas o sociales. La confirmación de que las contraseñas se almacenan con MD5 también aumenta el riesgo de que un atacante tome el control de las cuentas. Si se ha utilizado la misma contraseña en otras cuentas, los atacantes podrían iniciar intentos de acceso a cuentas de correo electrónico, redes sociales o trabajo.

La fecha verificada del incidente debe consignarse como el 24 de junio de 2016; la fecha de incorporación del registro, como el 29 de junio de 2016; y el número de cuentas afectadas, como 149 830. Los informes secundarios mencionan aproximadamente 150 000 perfiles y cientos de miles de mensajes privados. Estos informes respaldan el alcance, pero la cifra principal de cuentas que se muestra al usuario se limita a las 149 830 verificadas. Las categorías de datos incluyen registros de chat, direcciones de correo electrónico, ubicaciones geográficas, direcciones IP, contraseñas, mensajes privados, estados de los usuarios y nombres de usuario. En este registro no se han verificado campos de tarjetas de pago, cuentas bancarias, documentos de identidad o direcciones físicas, por lo que no se incluyen. El registro está clasificado como una filtración de datos sensibles, ya que la presencia de un usuario en esta plataforma o el acceso de terceros al contenido de sus comunicaciones privadas podría tener consecuencias personales.

El grupo de mayor riesgo incluye a las personas que tienen una cuenta de Muslim Match, utilizan su nombre real o un nombre de usuario reconocible, mantienen la misma dirección de correo electrónico durante mucho tiempo y reutilizan su contraseña en otros servicios. Los mensajes privados compartidos en el contexto de la búsqueda de matrimonio o de una relación pueden exponer al usuario a presiones de su familia, su círculo social o su entorno laboral. Los campos de ubicación, dirección IP y estado del usuario pueden ayudar a un atacante a preparar mensajes de phishing más personalizados. Los usuarios con aspectos sensibles vinculados a su contexto religioso o cultural pueden recibir mensajes dirigidos sobre falsos cierres de cuentas, eliminación de datos, protección de la reputación o chantaje. Para quienes se registran con un correo electrónico corporativo, el riesgo también puede extenderse a su cuenta de trabajo. Si la antigua contraseña de la plataforma se reutiliza en los sistemas de trabajo, el impacto sobre la seguridad de las cuentas aumenta.

Si sus datos coinciden con este registro, primero debe cambiar la antigua contraseña de su cuenta de Muslim Match y las contraseñas de todas las cuentas en las que utilice la misma o una similar. Debe dar prioridad a la revisión de las cuentas de correo electrónico, redes sociales, almacenamiento en la nube, mensajería, compras y trabajo. Las nuevas contraseñas deben ser únicas, largas y generadas con un gestor de contraseñas. Debe activar la autenticación de dos factores en todas las cuentas que la admitan. Examine con desconfianza los mensajes privados o correos electrónicos antiguos, los mensajes de redes sociales y los SMS que mencionen el nombre de la plataforma. No responda a mensajes que incluyan amenazas de chantaje o de difusión de fotos, ni a los que exijan pagos por eliminar datos o cerrar cuentas. No abra enlaces, no descargue archivos adjuntos ni comparta códigos de verificación o información de pago.

Este incidente muestra que las cuentas utilizadas en plataformas de búsqueda de pareja conllevan un alto riesgo para la privacidad. En estos servicios, los usuarios deberían utilizar una dirección de correo electrónico independiente o enmascarada en lugar de su dirección principal, elegir una contraseña única para cada plataforma y adoptar de forma sistemática la autenticación de dos factores siempre que sea posible. Se deberían cerrar las cuentas antiguas que ya no se utilicen o, al menos, renovar sus contraseñas. Si los nombres de usuario, las direcciones de correo electrónico y la información de perfil se repiten de forma idéntica en distintos servicios, resulta más fácil vincular los perfiles. En las cuentas que requieren un alto nivel de privacidad, esta información debería ser distinta. Cuando las organizaciones detecten direcciones de correo electrónico de sus empleados en filtraciones de datos sensibles de este tipo, deberían establecer un proceso de seguridad basado en el apoyo, no en las sanciones, e incluir los riesgos de extorsión y phishing dirigido en su plan de respuesta a incidentes.

Encontrar una coincidencia con Muslim Match en este registro indica que la dirección de correo electrónico asociada podría estar incluida en los datos sensibles de la plataforma de búsqueda de pareja de 2016. La coincidencia no demuestra que se hayan expuesto datos de tarjetas de pago o de identificación. El riesgo principal es que los mensajes privados, los registros de chat, las direcciones IP, la información de ubicación y los hashes de contraseñas puedan utilizarse conjuntamente para el acoso dirigido o para intentar tomar el control de cuentas. Debe elaborar una lista de las cuentas críticas asociadas a la misma dirección de correo electrónico, dejar de utilizar contraseñas antiguas o reutilizadas, ampliar el uso de la autenticación de dos factores y actuar con cautela ante amenazas que hagan referencia a mensajes privados. Se recomienda a las organizaciones que traten este registro como un caso de alto riesgo para la privacidad por su contenido sensible de 2016 y que revisen la reutilización de contraseñas mediante una comprobación de seguridad independiente.