Filtración de datos de MyLloyd de 2016

Los principales tipos de datos cuya presencia puede verificarse en un registro de MyLloyd son las direcciones de correo electrónico y las contraseñas. Una dirección de correo electrónico por sí sola no suele bastar para suplantar una identidad, pero, cuando se combina con una contraseña, el nivel de riesgo aumenta considerablemente. La dirección de correo electrónico identifica la cuenta del usuario, mientras que la contraseña puede probarse en el mismo servicio o en otros similares. La reaparición de una filtración antigua años después mantiene vigentes los ataques basados en la reutilización de contraseñas. Al atacante puede no importarle que la fecha de registro sea antigua, ya que los usuarios pueden haber conservado la misma contraseña base con pequeños cambios a lo largo de los años.

El hallazgo de contraseñas en texto plano hace que este registro sea algo más que una simple lista de direcciones de correo electrónico. Cuando las contraseñas están protegidas mediante hashes con una sal robusta, el atacante debe asumir un coste computacional adicional; si están en texto plano, puede probarlas directamente. Por tanto, el riesgo no se limita a las cuentas de MyLloyd o Lloyd. Si se reutiliza la misma combinación de correo electrónico y contraseña en una cuenta de correo, de compras, de redes sociales, de trabajo, de un servicio de pagos o de almacenamiento en la nube, existe el riesgo de que el acceso se extienda de una cuenta a otra. La medida de seguridad más importante para el usuario es dejar de utilizar por completo la contraseña antigua y cambiar también sus variantes similares.

Este registro toma como referencia el conjunto de datos de MyLloyd de 26 244 filas. La fecha del incidente se mantiene en mayo de 2016 porque los índices de filtraciones que se pueden consultar vinculan ese mismo dominio, tipo de cuenta y conjunto de campos de datos con ese periodo. En los índices externos, la fecha de incorporación del registro figura como el 25 de julio de 2022; no es el día en que ocurrió el incidente, sino el momento en que los datos se indexaron o volvieron a ser visibles. Esta distinción es importante: mostrar al usuario 2022 o 2026 como fecha de la filtración puede hacer que interprete los datos de una cuenta antigua como parte de un incidente nuevo.

También deben quedar claros los límites del alcance. Algunas listas secundarias muestran 30 706 registros y la fecha del 19 de junio de 2017 para mylloyd.com. Esta discrepancia podría deberse a que los mismos datos se añadieron a otra tabla, se reagruparon, se contabilizaron campos distintos o se presentó una fecha de indexación diferente como fecha del incidente. Esa cifra mayor, que no pudo corroborarse de forma coincidente entre las fuentes, no se incorporó al número principal de cuentas afectadas de este registro. Por ello, se muestran al usuario 26 244 registros del periodo de mayo de 2016, con los campos de dirección de correo electrónico y contraseña, que constituyen la coincidencia más sólida entre las fuentes.

El primer grupo en riesgo está formado por quienes, antes de 2016 o durante ese periodo, utilizaron la misma dirección de correo electrónico en mylloyd.com, en los canales de asistencia de Lloyd, en solicitudes de servicio, en procesos de registro de productos o en servicios similares a una cuenta de compras. El riesgo es especialmente alto para los usuarios que repiten la misma contraseña en distintos sitios de compras, servicios de correo electrónico o redes sociales. Aunque el usuario ya no recuerde su cuenta de MyLloyd, los datos antiguos de esa cuenta pueden seguir siendo valiosos para un atacante, porque los patrones de contraseñas anteriores pueden dar pistas sobre las nuevas.

El segundo grupo en riesgo está formado por empleados que se registran en servicios personales con su dirección de correo corporativo. La aparición de una dirección de correo de una empresa en una filtración antigua de un servicio de consumo no implica directamente que se haya accedido al sistema corporativo; sin embargo, aporta al atacante contexto para intentos dirigidos de phishing, adivinación de contraseñas e ingeniería social. El tercer grupo incluye a quienes crean cuentas en nombre de familiares o administran varias cuentas de usuario desde un mismo dispositivo. En estos casos, una sola dirección de correo electrónico puede estar asociada a varios productos, solicitudes de servicio o comunicaciones sobre entregas, lo que puede ayudar al atacante a preparar mensajes convincentes.

Si su dirección de correo electrónico aparece en este registro, debe asegurarse de que la contraseña antigua asociada a MyLloyd o Lloyd no se utilice en ningún otro servicio. Si todavía usa la misma contraseña o una similar, dé prioridad a establecer contraseñas únicas para todas sus cuentas críticas, empezando por las de correo electrónico y las que permiten realizar operaciones financieras. Al cambiar la contraseña, no basta con añadir un número o un símbolo al final de la anterior: los atacantes pueden probar fácilmente esas pequeñas variaciones mediante intentos automatizados. La mejor opción es generar contraseñas largas y únicas con un gestor de contraseñas.

Active la autenticación multifactor en su cuenta de correo electrónico. Como la bandeja de entrada es el punto central para restablecer las contraseñas de otros servicios, una intrusión en esta cuenta puede provocar pérdidas en cadena. Revise el historial de inicios de sesión recientes, los dispositivos que no reconozca, las reglas de reenvío y las direcciones de correo de recuperación de sus cuentas. Si tiene direcciones, números de teléfono o métodos de pago registrados en cuentas de compras y servicios, se recomienda eliminar la información desactualizada. Cuando reciba un correo sospechoso, verifique su contenido accediendo directamente a la dirección conocida del servicio, en lugar de hacer clic en el enlace.

Aunque el incidente de MyLloyd es antiguo, la lección para la seguridad a largo plazo es clara: reutilizar la misma contraseña convierte una filtración de pequeña escala en un riesgo de toma de control de cuentas que puede durar años. Utilice contraseñas distintas para cada servicio y guárdelas en un gestor de contraseñas fiable, en lugar de recurrir a patrones fáciles de recordar. En las cuentas críticas, dé preferencia a las aplicaciones de autenticación o a las llaves de seguridad físicas y sustituya los códigos por SMS por métodos más robustos siempre que sea posible.

En un entorno corporativo, estos registros no deben considerarse un asunto limitado a los hábitos de uso del correo personal de los empleados. Si se han utilizado direcciones del dominio de la empresa en servicios de consumo antiguos, el equipo de seguridad debe adoptar medidas mediante políticas que impidan la reutilización de contraseñas, comprobaciones de contraseñas filtradas, alertas de sesiones de riesgo y controles de autenticación multifactor obligatoria. La formación de los usuarios es tan importante como los controles técnicos; en particular, debe explicarse que los mensajes dirigidos elaborados a partir de datos de filtraciones antiguas pueden utilizar el lenguaje real de las marcas y los nombres de servicios antiguos.

Si su registro de MyLloyd aparece en LeakData, no debe considerar ese resultado, por sí solo, una prueba de suplantación de identidad, sino una advertencia seria que exige dejar de reutilizar contraseñas. El registro se basa en la dirección de correo electrónico, el campo de contraseña, el periodo de mayo de 2016 y los 26 244 registros afectados. Al no existir un anuncio oficial, no se han añadido afirmaciones definitivas sobre el método técnico del incidente, el grupo atacante ni los detalles del acceso a los sistemas. Este enfoque limitado reduce tanto el riesgo de generar una falsa sensación de seguridad como el de provocar falsas alarmas.

El orden práctico es sencillo: primero, proteja su cuenta de correo electrónico; después, cambie las contraseñas de las cuentas de compras, redes sociales, almacenamiento en la nube y trabajo en las que pueda haber utilizado la misma contraseña; por último, cierre las sesiones que no reconozca. Una vez completados los cambios de contraseña, revise también la información de recuperación de las cuentas. Aunque una cuenta antigua de MyLloyd ya no esté activa, cualquier servicio en el que haya utilizado la misma contraseña en el pasado supone un foco de riesgo. Este registro debe considerarse una alerta temprana que le ayuda a identificar qué familia de contraseñas antiguas debe dejar de utilizar.