Filtración de datos de MyHeritage

Las categorías de datos verificadas en el conjunto de datos de MyHeritage son direcciones de correo electrónico y contraseñas. El campo de contraseña contiene hashes SHA-1 de contraseñas con sal. Las direcciones de correo electrónico pueden utilizarse para phishing dirigido, vinculación de cuentas, alertas sobre cuentas antiguas y estafas de restablecimiento de contraseñas. Los hashes de contraseñas, por su parte, plantean riesgos adicionales, especialmente cuando las contraseñas son débiles o se reutilizan.

En este incidente, no debe considerarse que se haya verificado la filtración de contraseñas en texto sin formato, tarjetas de pago, números de teléfono, direcciones físicas, documentos de identidad, perfiles de ADN ni contenido de árboles genealógicos. No obstante, cuando los campos de correo electrónico y contraseña aparecen juntos, los atacantes pueden intentar utilizar la misma combinación en cuentas de correo electrónico, redes sociales, almacenamiento en la nube, compras, historia familiar y trabajo.

La fecha de la filtración de MyHeritage debe mantenerse como el 26 de octubre de 2017, la fecha de incorporación del registro como el 20 de febrero de 2019 y el número de cuentas afectadas como 91 991 358. El comunicado de la empresa explica que el archivo contenía las direcciones de correo electrónico y los hashes de contraseñas de usuarios que habían abierto una cuenta de MyHeritage; el archivo se detectó en un servidor privado externo a la empresa.

Al explicar el alcance, no debe afirmarse que se filtraron árboles genealógicos, datos de ADN, información de pago, tarjetas de crédito, documentos de identidad, números de teléfono ni direcciones físicas. La empresa ha informado de que la información de pago se almacena con proveedores de pago externos y de que los árboles genealógicos y los datos de ADN se guardan en sistemas separados, sin indicios de acceso no autorizado a esos sistemas. Por tanto, el registro de MyHeritage no debe considerarse una filtración de datos genealógicos sensibles, sino un riesgo de gran volumen relacionado con los identificadores de cuenta y la reutilización de contraseñas.

El principal grupo en riesgo está formado por quienes abrieron una cuenta de MyHeritage el 26 de octubre de 2017 o antes. Las personas que utilizan la misma contraseña en su cuenta de correo electrónico, redes sociales, almacenamiento en la nube, sitios de compras, servicios de genealogía o cuenta de trabajo corren un riesgo mayor. Aunque se hayan olvidado de las cuentas antiguas, el riesgo persiste si la misma contraseña sigue siendo válida en otros servicios.

Los usuarios especialmente receptivos a mensajes sobre árboles genealógicos, historia familiar o resultados de ADN también deben tener precaución ante el phishing dirigido. Cuando los atacantes saben que existe una cuenta real de MyHeritage, pueden ponerse en contacto con el usuario con el pretexto de vínculos familiares, alertas de seguridad, suscripciones antiguas, archivos de fotos o coincidencias con familiares. En el caso de quienes utilizan un correo electrónico corporativo, el riesgo también puede extenderse a intentos de acceso a la cuenta de trabajo mediante contraseñas.

Si se ha encontrado una coincidencia con sus datos en MyHeritage, cambie la contraseña de su cuenta de MyHeritage y de todas las cuentas en las que utilice la misma contraseña. Dé prioridad a las cuentas de correo electrónico, redes sociales, almacenamiento en la nube, compras, pagos, historia familiar y trabajo. Las nuevas contraseñas deben ser largas, únicas y elegirse entre las guardadas en un gestor de contraseñas.

Active la autenticación de dos factores en todas sus cuentas principales, revise las sesiones activas y los dispositivos conectados, y cierre las sesiones que no reconozca. Si recibe mensajes sobre árboles genealógicos, resultados de ADN, coincidencias con familiares o la seguridad de cuentas antiguas, antes de hacer clic en cualquier enlace, inicie sesión desde la dirección web conocida del servicio o su aplicación oficial. No comparta códigos de un solo uso, contraseñas de cuentas ni enlaces de recuperación en ninguna conversación con soporte.

A largo plazo, las medidas básicas de protección son una contraseña única para cada servicio, un gestor de contraseñas y la autenticación de dos factores. Mantener durante años el mismo patrón de correo electrónico y contraseña en servicios con un fuerte contexto personal, como los de historia familiar y archivos de fotos, facilita que se prueben datos de filtraciones antiguas en cuentas nuevas. Puede considerar el uso de una dirección de correo electrónico o un alias diferente para las cuentas críticas.

Revise periódicamente sus cuentas antiguas de historia familiar, cierre las que ya no necesite y mantenga actualizadas las direcciones de correo electrónico de recuperación y las notificaciones de seguridad. Cuando se exponen una dirección de correo electrónico y un hash de contraseña, el riesgo no se limita a un solo sitio; es necesario dejar de reutilizar contraseñas y mantenerse alerta a largo plazo ante los mensajes de phishing dirigido.

La comprobación de LeakData muestra si la dirección de correo electrónico consultada aparece en el conjunto de datos de MyHeritage. Un resultado positivo indica que la dirección está presente en este conjunto de datos y que los campos de datos verificados deben incluirse en la evaluación del riesgo. Este resultado no demuestra que se hayan expuesto datos de ADN, árboles genealógicos, tarjetas de pago ni documentos de identidad; las medidas de protección deben centrarse en el riesgo asociado al correo electrónico y la contraseña.

Un resultado negativo solo significa que no se encontró ninguna coincidencia en el conjunto de datos de MyHeritage; no descarta la posibilidad de que sus datos aparezcan en otras filtraciones. Si obtiene un resultado positivo, restablezca su contraseña, active la autenticación de dos factores, revise las sesiones antiguas y verifique por un canal independiente los mensajes de seguridad relacionados con genealogía o historia familiar.