Nameless Malware: exposición de datos por malware en 2020

El campo verificado que se puede consultar es la dirección de correo electrónico. Además, el análisis técnico del incidente muestra que el malware tiene como objetivo las credenciales de acceso, los nombres de usuario, las contraseñas, las cookies del navegador, los identificadores de dispositivos, los archivos de las carpetas de escritorio y descargas, las capturas de pantalla, las fotografías tomadas con la cámara, los datos de autocompletado y algunos restos de información de pago. Cuando estos datos proceden del mismo dispositivo, el atacante puede conocer no solo la cuenta, sino también los hábitos de uso del dispositivo y el historial de sesiones de la persona.

Las cookies del navegador son especialmente peligrosas: en algunos casos, permiten acceder a sesiones abiertas sin conocer la contraseña. Los archivos y las fotografías aumentan el riesgo de suplantación de identidad, vulneraciones de la privacidad y chantaje. Los datos de acceso que contienen una contraseña o un nombre de usuario pueden probarse en otros servicios. La dirección de correo electrónico es el principal identificador que vincula estos fragmentos de datos con el usuario; por tanto, un resultado positivo debe considerarse no solo un riesgo de recibir mensajes no deseados, sino también un riesgo de apropiación de cuentas a partir de datos del dispositivo.

Para este registro, el período del incidente es 2018-2020, la fecha de referencia es el 1 de enero de 2020 y la fecha de incorporación al conjunto de datos es el 9 de junio de 2021. El número de direcciones de correo electrónico únicas verificadas es 1 121 484. Los 3,25 millones de equipos y los 1,2 TB de datos mencionados en la investigación ilustran el amplio impacto de toda la campaña de malware; la búsqueda de usuarios en LeakData refleja el alcance de las direcciones de correo electrónico únicas extraídas de esta campaña.

El incidente no está vinculado a un nombre de dominio específico ni a la base de datos de una marca. Por ello, los campos del sitio web de la empresa y del dominio deben permanecer vacíos. El campo de país mantiene un alcance global, y el sector corresponde al contexto de los registros de malware y de software de robo de información. Las cuentas bancarias, los números de documentos oficiales de identidad, los historiales médicos y los historiales de compras específicos no se incluyen como categorías generales de datos en este registro. La información de pago se describe únicamente como un riesgo asociado a los restos de datos del software mencionados en la investigación; no se presupone que todos los casos con resultado positivo contengan datos completos de tarjetas.

El mayor riesgo corresponde a las personas que, en el período 2018-2020, utilizaron un equipo Windows infectado a través de correos electrónicos que contenían software pirateado, juegos falsos, herramientas para eludir protecciones de software o complementos maliciosos. Si en el mismo dispositivo permanecían abiertas sesiones de correo personal, cuentas de trabajo, redes sociales, juegos, servicios para compartir archivos, almacenamiento en la nube o cuentas financieras, el atacante podría haber obtenido rastros no solo a través de la contraseña, sino también de las cookies de sesión y los archivos locales.

El riesgo es mayor para quienes utilizan correo electrónico corporativo. Las cookies y contraseñas recopiladas del dispositivo personal de un empleado o de un equipo de trabajo con protección insuficiente pueden utilizarse en intentos de acceso a cuentas internas. Los registros que contienen fotografías, documentos y capturas de pantalla tienen implicaciones para la privacidad de familiares, estudiantes, profesionales independientes y usuarios que almacenan documentos sensibles. En este incidente, el usuario debe centrarse más en qué sesiones están abiertas en cada dispositivo que en los sitios en los que está registrado.

Si obtiene una coincidencia positiva, primero debe cambiar las contraseñas de las cuentas críticas desde un dispositivo limpio y actualizado. Debe dar prioridad a servicios como el correo electrónico, los gestores de contraseñas, las redes sociales, el almacenamiento en la nube, las cuentas de trabajo, las plataformas de juegos y los servicios de pago. Debe cerrar todas las sesiones abiertas y utilizar la opción de cerrar sesión en todos los dispositivos en los servicios que permitan invalidar las cookies de sesión. Si ha reutilizado una misma contraseña, debe elegir una contraseña única para cada cuenta.

Si sigue utilizando el dispositivo afectado, debe realizar un análisis de seguridad, actualizar el sistema operativo y el navegador, eliminar los complementos sospechosos y retirar el software pirateado. Debe revisar la costumbre de dejar documentos sensibles en la cámara, en la carpeta de descargas y en el escritorio. Debe activar la autenticación multifactor; si recibe una notificación de seguridad, un enlace para compartir archivos, una recompensa de un juego, una factura o un mensaje de cierre de cuenta inesperados, debe iniciar cualquier acción únicamente desde una pantalla de inicio de sesión conocida.

Este incidente muestra que una filtración de datos relacionada con malware tiene un impacto más amplio que una filtración convencional de un sitio web. Los usuarios deben limitar el almacenamiento de contraseñas en el navegador, utilizar un gestor de contraseñas de confianza, eliminar periódicamente las cookies y las sesiones antiguas, y optar por llaves de seguridad físicas o autenticación de dos factores mediante aplicaciones para las cuentas críticas. Aunque el software pirateado y las herramientas para eludir sus protecciones puedan parecer opciones de bajo costo, suponen un riesgo elevado para la seguridad de las cuentas y los archivos.

Para las organizaciones, este registro destaca la importancia de la seguridad de los dispositivos de los empleados, la protección de los dispositivos finales y la gestión de las sesiones del navegador. No basta con vigilar las filtraciones de los sistemas corporativos; las coincidencias de correos electrónicos y contraseñas procedentes de software de robo de información también deben incorporarse a la puntuación de riesgo. Los controles que reducen la reutilización de contraseñas, el acceso condicional, las comprobaciones del estado de seguridad de los dispositivos y los procesos de cierre de sesiones sospechosas ofrecen una defensa más sólida a largo plazo.

Si una búsqueda por dirección de correo electrónico en este registro de LeakData devuelve un resultado positivo, significa que la dirección correspondiente se encuentra entre las 1 121 484 direcciones de correo electrónico únicas del conjunto de datos de Nameless Malware. Este resultado indica que debe tomarse en serio el riesgo relacionado con las contraseñas, cookies, archivos, fotografías y datos de autocompletado que podrían haberse recopilado en el dispositivo. Un resultado negativo solo significa que no se encontró una coincidencia en este conjunto de datos concreto; no descarta otros registros de malware ni el uso de otras direcciones de correo electrónico.

Las medidas adecuadas son cambiar la contraseña desde un dispositivo limpio, cerrar todas las sesiones, realizar un análisis en busca de malware, activar la autenticación multifactor, evitar archivos y enlaces sospechosos, almacenar los archivos sensibles en un entorno cifrado y dejar por completo de reutilizar contraseñas. Este registro debe considerarse un incidente de malware sensible, global e independiente de cualquier dominio; el riesgo mostrado al usuario parte de la coincidencia del correo electrónico, pero su tratamiento debe completarse con medidas de seguridad del dispositivo.