Filtración de datos de Nafham Education en 2021

En la base de datos de Nafham, la combinación de dirección de correo electrónico, nombre completo y hash de contraseña constituye el conjunto de datos de mayor riesgo. Aunque Bcrypt es un método robusto para almacenar contraseñas, las contraseñas débiles o de uso común pueden llegar a descubrirse con el tiempo. Si se utiliza la misma contraseña en cuentas de correo electrónico, redes sociales, centros educativos, compras u otros servicios educativos, los atacantes pueden intentar usar estos datos en distintos servicios. La combinación de nombre completo y correo electrónico también hace más convincentes los mensajes engañosos que simulan notificaciones de soporte, mensajes sobre la seguridad de la cuenta o comunicaciones relacionadas con el contenido de los cursos.

El número de teléfono, la fecha de registro, la fecha del último inicio de sesión y los campos del perfil educativo aparecen como categorías de riesgo independientes en algunos directorios. Estos campos deben tenerse en cuenta sin asumir que están completos en todas las filas; aun así, si se encuentra una coincidencia con sus datos, usted debe tener cuidado con las llamadas, los mensajes de texto, las solicitudes de verificación de cuentas y las notificaciones dirigidas a estudiantes o padres. El contexto de la plataforma educativa puede permitir que se deduzcan el grupo de edad, el nivel escolar o el objetivo de aprendizaje del usuario.

La fecha mejor respaldada para este registro es noviembre de 2021. El incidente está vinculado al servicio Nafham Education, con sede en Egipto, y el recuento principal se mantiene en 415 744 registros. Las cifras superiores pueden deberse al tratamiento del mismo conjunto de datos en distintos índices, con diferentes métodos de depuración, eliminación de duplicados o recuento de filas. Por tanto, no se presenta a los usuarios una descripción que sugiera la existencia de millones de registros; la escala realista es de aproximadamente 416 mil usuarios.

Las categorías de datos se limitan a direcciones de correo electrónico, nombres completos, hashes de contraseñas, números de teléfono, fechas de creación de cuentas, fechas del último inicio de sesión y datos educativos. El campo de contraseña debe entenderse como un hash bcrypt, no como una contraseña en texto plano. El campo de nombre de usuario se excluye de las categorías principales de datos porque no se ha verificado de forma independiente y consistente. No se incluyen datos de tarjetas de pago, cuentas bancarias, documentos oficiales de identidad, domicilios ni contenido de mensajes privados, ya que no pueden verificarse de forma fiable para este registro.

El mayor riesgo corresponde a quienes reutilizan en otros servicios la contraseña de su cuenta de Nafham. Aunque la cuenta de la plataforma educativa sea antigua, el mismo correo electrónico y la misma contraseña pueden seguir en uso en otros servicios. Los estudiantes, padres, docentes y personas que utilizan contenido educativo en árabe pueden ser objeto de engaños mediante mensajes falsos sobre la seguridad de la cuenta, notificaciones de acceso a clases, enlaces a certificados o solicitudes de pago.

Para los usuarios cuyos datos coincidan en el campo de número de teléfono o del perfil educativo, el riesgo no se limita a la bandeja de entrada del correo electrónico. Pueden organizarse procesos de soporte falsos mediante SMS, llamadas o aplicaciones de mensajería. El nombre, los apellidos y el contexto educativo hacen que los mensajes parezcan personalizados. La misma información puede utilizarse en intentos de phishing que imiten comunicaciones internas del centro educativo dirigidas a docentes o personal educativo que utiliza correo electrónico corporativo.

Si aparece una coincidencia positiva en la sección correspondiente, usted debe asegurarse primero de que la antigua contraseña de su cuenta de Nafham ya no sea válida en ninguna otra cuenta. Si ha utilizado la misma contraseña o una similar en otros servicios, debe elegir de inmediato una contraseña larga y única. Debe activar la autenticación multifactor en el correo electrónico, las redes sociales, los servicios escolares y las cuentas que impliquen pagos. Aunque no recuerde la antigua contraseña, adoptar contraseñas nuevas y únicas con ayuda de un gestor de contraseñas es una medida de protección más adecuada.

Ante mensajes relacionados con Nafham, el acceso a cursos, el perfil del estudiante, la verificación de cuentas o las notificaciones de seguridad, usted debe comprobar manualmente el dominio antes de hacer clic en cualquier enlace. Las solicitudes de códigos de verificación recibidas por teléfono, los mensajes urgentes de soporte y las amenazas de cierre de cuentas pueden ser falsos. Revise su correo electrónico de recuperación, el teléfono registrado y las sesiones activas; si recibe una notificación de inicio de sesión inesperada, inicie las comprobaciones desde la pantalla de acceso conocida del servicio correspondiente.

Las cuentas utilizadas en plataformas educativas suelen considerarse de bajo riesgo, pero cuando se filtran juntos el nombre completo, el correo electrónico y los hashes de contraseñas, el riesgo persiste durante mucho tiempo. Usted no debe reutilizar la misma contraseña en cuentas escolares, de cursos, de exámenes de práctica, de formación en video y de redes sociales. Si se trata de una cuenta de un menor o de un padre o una madre, la información de contacto y la visibilidad del perfil deben gestionarse con mayor cuidado. Las cuentas educativas que ya no se utilicen deben cerrarse o protegerse con una contraseña exclusiva.

La principal lección para los administradores de servicios es que los datos de formación son tan sensibles como los datos de identidad. Aunque los hashes de contraseñas se almacenen mediante algoritmos robustos, deben revisarse periódicamente los controles de acceso, la seguridad de las sesiones y los plazos de conservación de los datos. La información del perfil, como el número de teléfono, el centro educativo, la clase, la relación con el padre o la madre y el área de estudio, solo debe conservarse durante el tiempo necesario. Además, se debe ofrecer claramente a los usuarios la posibilidad de eliminar su cuenta y actualizar sus datos.

Un resultado positivo indica un riesgo relacionado con el correo electrónico, el nombre completo, el hash de contraseña bcrypt y, según algunas fuentes, el número de teléfono, la fecha de registro, la fecha del último inicio de sesión y los campos del perfil educativo. Un resultado negativo solo indica que no hay coincidencias en este conjunto de datos concreto; no demuestra que la persona no esté afectada por otras filtraciones de servicios educativos o de cuentas.

Lo adecuado es dejar de utilizar por completo la antigua contraseña, cambiar las contraseñas reutilizadas, activar la autenticación multifactor en el correo electrónico y las cuentas escolares, confirmar por un canal independiente las solicitudes de verificación recibidas por teléfono y actuar con cautela ante los enlaces relacionados con plataformas educativas.