Filtración de datos de MyFitnessPal

Las categorías de datos verificadas son direcciones de correo electrónico, direcciones IP, contraseñas y nombres de usuario. Se ha informado de que los datos de contraseñas están asociados a valores hash, con SHA-1 para algunas cuentas y bcrypt para las más recientes. Esta situación es distinta de una filtración de contraseñas en texto plano; sin embargo, el riesgo persiste si las contraseñas son débiles o se han reutilizado. Las direcciones de correo electrónico y los nombres de usuario pueden vincularse con cuentas de otras plataformas. Las direcciones IP también pueden aportar contexto indirecto sobre las regiones desde las que se accede y los datos habituales de las sesiones. La información de tarjetas de pago, los registros diarios de alimentación, los datos de peso, el historial de ejercicio y los datos de identificación oficial no figuran entre las categorías de datos verificadas para este registro concreto; el riesgo está relacionado principalmente con la toma de control de cuentas y la reutilización de contraseñas.

El número de cuentas verificadas en el incidente de MyFitnessPal es de 143 606 147. Debe considerarse febrero de 2018 como el periodo principal de la filtración, febrero de 2019 como la fecha verificada de incorporación y el 21 de febrero de 2019 como la fecha de la última actualización de la fuente. Según la declaración de la propia empresa, la información afectada incluye nombres de usuario, direcciones de correo electrónico y contraseñas almacenadas como hashes; los registros externos verificados de seguridad de las cuentas también incluyen direcciones IP. Por lo tanto, los campos que se muestran al usuario deben limitarse a direcciones de correo electrónico, direcciones IP, contraseñas y nombres de usuario. El hecho de que MyFitnessPal sea un servicio de alimentación y ejercicio no significa que también se hayan filtrado los datos de los diarios de salud. Añadir campos no verificados genera una percepción errónea del riesgo para el usuario.

El mayor riesgo afecta a quienes utilizan la misma dirección de correo electrónico en su cuenta de MyFitnessPal y en otros servicios, junto con contraseñas similares. Si se repite la misma contraseña en aplicaciones de ejercicio, alimentación y deportes, redes sociales, cuentas de correo electrónico y cuentas de compras, los atacantes pueden utilizar esta información en ataques automatizados de prueba de credenciales. Quienes llevan años sin acceder a sus cuentas antiguas también están en riesgo, porque una contraseña olvidada puede seguir siendo válida en otro servicio. En el caso de empleados registrados con un correo electrónico corporativo, los mensajes de phishing pueden resultar más convincentes. La combinación de dirección IP y nombre de usuario puede utilizarse para personalizar alertas falsas de inicio de sesión o mensajes de recuperación de cuentas.

Si su cuenta se ha visto afectada, lo primero que debe hacer es cambiar la contraseña de MyFitnessPal por una única y segura. Si utiliza la misma contraseña o una similar en otros servicios, debe priorizar el cambio de las contraseñas de sus cuentas de correo electrónico, redes sociales, almacenamiento en la nube, compras y aplicaciones de ejercicio, así como de las cuentas vinculadas a pagos. Generar una contraseña distinta para cada servicio con un gestor de contraseñas reduce el riesgo de reutilización. Active la verificación en varios pasos en las cuentas que la admitan. Tenga cuidado con los mensajes falsos de restablecimiento de contraseña, recompensas, suscripciones, facturas o suspensión de cuentas que lleguen en nombre de MyFitnessPal o de una aplicación de ejercicio. Compruebe manualmente la dirección antes de hacer clic en el enlace y no abra archivos ni formularios sospechosos.

A largo plazo, las aplicaciones de ejercicio y estilo de vida deben protegerse con la misma constancia que las cuentas principales de correo electrónico y las cuentas financieras. Registrarse en muchas aplicaciones con la misma dirección de correo electrónico hace que el riesgo de una sola filtración se extienda a distintos servicios. Revise periódicamente sus cuentas antiguas, cambie las contraseñas de los servicios que ya no utiliza o elimine esas cuentas. Un gestor de contraseñas puede servir como herramienta principal para generar contraseñas aleatorias y únicas. En entornos corporativos, es importante contar con normas de seguridad que impidan a los empleados utilizar el correo electrónico y las contraseñas del trabajo en aplicaciones personales. Recuerde que las filtraciones antiguas pueden volver a aparecer años después y que no debe reutilizar contraseñas anteriores en cuentas nuevas.

Cuando aparece un resultado de MyFitnessPal en LeakData, indica que la dirección de correo electrónico está incluida en el conjunto de datos de cuentas de ejercicio y alimentación de 2018. Este resultado no demuestra que los diarios actuales de salud o alimentación del usuario se hayan visto comprometidos; se limita a los campos verificados de identificadores de cuenta y contraseñas asociados al riesgo. Primero debe revisar su cuenta de MyFitnessPal y, después, las contraseñas que utilizaba en ese mismo periodo y las cuentas importantes que abrió con la misma dirección de correo electrónico. Debe dar prioridad a la revisión de su cuenta de correo electrónico, sus redes sociales y sus cuentas de compras y almacenamiento en la nube. El periodo principal del incidente es febrero de 2018, y la fecha verificada de incorporación es febrero de 2019. Esta cronología evita que la pantalla de Seguridad de la cuenta identifique erróneamente el incidente como un suceso actual y le permite establecer el orden de prioridad adecuado.