Filtración de datos de MySpace de 2008

Las categorías de datos verificadas son direcciones de correo electrónico, contraseñas y nombres de usuario. La dirección de correo electrónico, por sí sola, permite seleccionar objetivos de forma masiva, mientras que el nombre de usuario puede ayudar a vincular los rastros del antiguo perfil de una persona en distintas plataformas. Según lo informado, el campo de contraseña se almacenaba en un formato antiguo basado en SHA-1, sin sal y limitado a los primeros 10 caracteres. Este modelo de almacenamiento es débil según los estándares actuales y aumenta especialmente el riesgo de descifrado de contraseñas cortas, basadas en palabras de diccionario o reutilizadas en otras cuentas.

El impacto de este conjunto de datos no se limita a la posibilidad de acceder a una cuenta de MySpace. La mayoría de los usuarios podría haber reutilizado contraseñas antiguas a lo largo de los años en cuentas de correo electrónico, foros, juegos, compras o redes sociales. Los atacantes pueden probar las mismas combinaciones de correo electrónico y contraseña en distintos servicios para intentar iniciar sesión. La información del nombre de usuario también puede ayudar a encontrar la identidad que la persona utilizaba antes en internet, redactar mensajes falsos de soporte o parecer de confianza al utilizar enlaces a perfiles antiguos.

La fecha de la filtración consta en el sistema como el 1 de julio de 2008. El conjunto de datos se puso a la venta en mayo de 2016 y se incorporó a los sistemas de búsqueda verificados durante ese mismo período. La fecha verificada de incorporación y de última modificación es el 31 de mayo de 2016. El número de cuentas afectadas se fija en 359 420 698. En distintos informes pueden aparecer cifras brutas de contraseñas más altas, ya que algunas cuentas podían tener varios campos de contraseña y se determinó que el número de registros no equivale al número de contraseñas.

En la notificación oficial a los usuarios se indicó que no se recopila información de tarjetas de crédito ni información financiera, y que esos datos financieros no están implicados en el incidente. Por tanto, el incidente no debe presentarse como una filtración de datos de tarjetas de pago o datos bancarios. La información de salud, el contenido de mensajes privados, los números de identificación y los números de teléfono tampoco figuran entre las categorías de datos verificadas. Para ofrecer una evaluación fiable, el alcance se limita a las direcciones de correo electrónico, los nombres de usuario y las contraseñas; no se añaden otros tipos de datos que puedan alarmar innecesariamente al usuario.

El mayor riesgo afecta a quienes crearon su cuenta de MySpace antes de 2013 y utilizaron la misma contraseña, o una similar, en otros servicios. Los usuarios que aún mantienen activa su antigua dirección de correo electrónico pueden detectar intentos de acceso mediante contraseñas en otras cuentas creadas con esa dirección. Para quienes utilizaron su antiguo nombre de usuario en distintas plataformas, aumenta el riesgo de que se vinculen sus identidades. Los usuarios que conservaron el mismo alias, especialmente en cuentas de música, foros, juegos y redes sociales, pueden ser seleccionados como objetivos con mayor facilidad.

El riesgo no afecta únicamente a quienes usan sus cuentas de forma activa. Las cuentas abandonadas, las direcciones de correo olvidadas y las contraseñas antiguas pueden aparecer en las listas que los atacantes utilizan para realizar intentos automatizados. Si la cuenta de correo electrónico sigue siendo accesible, se pueden probar en otras cuentas contraseñas parecidas a las antiguas de MySpace. También es posible que se ataque la identidad corporativa de personas que en el pasado utilizaron su correo de trabajo en cuentas personales de redes sociales. La antigüedad de los datos no elimina el riesgo; reutilizar contraseñas es una debilidad de seguridad que puede persistir durante años.

La prioridad es comprobar si alguna de las contraseñas utilizadas en la cuenta de MySpace, o alguna similar, sigue en uso en otros servicios. Cada cuenta que utilice la misma contraseña o una similar debe pasar a tener una contraseña única y segura. Las cuentas de correo electrónico, las redes sociales, el almacenamiento en la nube, los servicios financieros y las cuentas de trabajo son las primeras áreas que deben revisarse. Las direcciones de correo y los números de teléfono para recuperar las cuentas deben estar actualizados, las sesiones desconocidas deben cerrarse y la autenticación de dos factores debe activarse siempre que sea posible.

Si se tiene acceso a la antigua cuenta de MySpace, se debe restablecer la contraseña, reducir la información personal innecesaria del perfil y eliminar las conexiones que ya no se utilizan. Si no se tiene acceso, se debe examinar el historial de seguridad de las cuentas críticas vinculadas a la misma dirección de correo electrónico. Un gestor de contraseñas facilita la generación de una contraseña única para cada servicio. Si aparecen en la bandeja de entrada mensajes dirigidos a la antigua cuenta de MySpace o al mismo nombre de usuario, se recomienda realizar una comprobación independiente desde la página oficial de inicio de sesión, sin hacer clic en los enlaces.

Este incidente demuestra que las cuentas antiguas de redes sociales pueden suponer un riesgo de seguridad incluso muchos años después. Las cuentas que ya no se usan deben cerrarse o, al menos, protegerse con una contraseña única y autenticación de dos factores. Si se crearon muchas cuentas antiguas con la misma dirección de correo electrónico, puede ser preferible utilizar una dirección distinta o un alias de correo para los servicios críticos. Como reutilizar el nombre de usuario en distintas plataformas facilita la vinculación de identidades, una estrategia diferente para elegir nombres de usuario resulta más segura en cuentas sensibles o profesionales.

En el ámbito empresarial, se debe asumir que las contraseñas antiguas de redes sociales podrían haberse reutilizado en cuentas de empleados. Los equipos de seguridad deben establecer controles continuos para detectar la reutilización de contraseñas, políticas de contraseñas seguras, autenticación de dos factores obligatoria y supervisión de intentos de inicio de sesión sospechosos. Los usuarios particulares también deben mantener un inventario de sus cuentas antiguas, revisar periódicamente el historial de sesiones de las cuentas críticas y considerar los cambios de contraseña no solo como una respuesta a una filtración, sino también como parte del mantenimiento habitual de la seguridad. Aunque puede resultar difícil recordar las contraseñas antiguas, utilizar contraseñas nuevas y únicas con un gestor de contraseñas reduce el riesgo de forma permanente.

Si el resultado de la comprobación es positivo, significa que la dirección de correo electrónico, el nombre de usuario o la contraseña asociados a su cuenta de MySpace aparecen en el conjunto de datos verificado. Este resultado no significa que se hayan filtrado sus datos financieros ni sus mensajes privados. La medida principal es eliminar la posibilidad de que la misma contraseña se haya utilizado en otros servicios. Primero, proteja su cuenta de correo electrónico y sus servicios críticos; después, revise sus antiguas cuentas de redes sociales y foros.

Si el resultado de la comprobación es negativo, solo significa que no se encontró ninguna coincidencia en este conjunto de datos; no descarta por completo el riesgo asociado a otros incidentes anteriores. Si ha creado muchas cuentas antiguas con la misma dirección de correo electrónico, adopte de todos modos el uso habitual de contraseñas únicas y autenticación de dos factores. Dado que el incidente de MySpace demostró que incluso las cuentas olvidadas pueden afectar a la seguridad de la identidad y de las contraseñas años después, lo más adecuado es asegurarse de no reutilizar contraseñas antiguas en ningún servicio crítico.