Naughty America Filtración de datos

Los campos de datos confirmados incluyen fechas de nacimiento, direcciones de correo electrónico, direcciones IP, contraseñas, nombres de usuario e información sobre la actividad en el sitio. Las direcciones de correo electrónico son el punto de partida para mensajes de phishing dirigidos. Los nombres de usuario aumentan el riesgo de vincular identidades en línea si se repite el mismo alias en distintos servicios. Las direcciones IP no revelan directamente una dirección física; sin embargo, pueden dar una idea de la ubicación aproximada, el proveedor de servicios y los patrones de acceso. La actividad en el sitio supone un riesgo elevado para la privacidad personal debido al carácter sensible del registro en este tipo de sitio.

El hecho de que los datos de contraseñas estén protegidos mediante hashes MD5 también es un punto débil. MD5 es un método antiguo que permite realizar cálculos con gran rapidez y no se considera un estándar moderno para almacenar contraseñas. Si una persona ha utilizado una contraseña corta, repetitiva, basada en palabras del diccionario o que contiene su fecha de nacimiento, aumenta la probabilidad de que se descifre. Si se ha utilizado la misma contraseña en otras cuentas, los efectos de esta filtración pueden extenderse a distintos servicios, como el correo electrónico, las redes sociales, los servicios financieros, los videojuegos o las cuentas de trabajo.

El contraste de fuentes confirma que el incidente de Naughty America ocurrió el 14 de marzo de 2016, que la fecha de incorporación fue el 24 de abril de 2016 y que hubo 1 398 630 cuentas afectadas. Los campos de datos se limitan a fechas de nacimiento, direcciones de correo electrónico, direcciones IP, datos de contraseñas, nombres de usuario y actividad en el sitio. Los números de teléfono, las direcciones físicas, las tarjetas de pago, los documentos oficiales de identidad, el contenido de mensajes privados y las fotografías no figuran entre los campos verificados de este incidente. Añadir tipos de datos no verificados ofrece al usuario una imagen falsa del riesgo.

El incidente debe seguir clasificándose como sensible porque el contexto del registro en el sitio puede perjudicar la vida personal y la reputación. El elevado número de registros aumenta la gravedad, pero el principal riesgo procede de la combinación de correo electrónico, contraseña, nombre de usuario y actividad en el sitio. Esta combinación puede utilizarse para phishing, intentos de extorsión, pruebas de acceso a cuentas y vinculación de identidades entre distintos servicios. Por tanto, la comunicación sobre el incidente debe ser mesurada y clara: el alcance del acceso a los datos debe presentarse sin exageraciones y los campos verificados deben distinguirse del resto.

El mayor riesgo corresponde a quienes utilizan la contraseña de su cuenta de Naughty America también en otros servicios. Una contraseña antigua puede ser peligrosa incluso años después, porque los conjuntos de datos filtrados circulan durante mucho tiempo y se reutilizan en nuevos intentos de acceso a cuentas. Los mensajes dirigidos pueden resultar más convincentes para quienes utilizan la misma dirección de correo electrónico para el trabajo, la familia, las redes sociales o las cuentas financieras. Las personas que mantienen el mismo nombre de usuario en distintos sitios también están más expuestas al riesgo de que se vinculen sus identidades en línea.

El riesgo para la privacidad también debe considerarse por separado. Que terceros sepan que una persona está registrada en un sitio de contenido para adultos puede causar problemas a algunos usuarios en relación con su reputación, la confianza familiar, las relaciones laborales o la seguridad personal. Al analizar conjuntamente los campos de actividad en el sitio, dirección IP y fecha de nacimiento, a un atacante le resulta más fácil crear mensajes personalizados para esa persona. Por ello, no basta con cambiar la contraseña: el usuario también debe revisar la seguridad de su correo electrónico y el rastro de su identidad en línea.

El primer paso es asegurarse de que la antigua contraseña de la cuenta de Naughty America no siga en uso en ningún otro servicio. Se deben actualizar las contraseñas de todas las cuentas en las que se utilice la misma contraseña o una similar. La cuenta de correo electrónico es prioritaria, porque los enlaces de recuperación de cuentas y los mensajes de restablecimiento de contraseñas suelen enviarse por correo electrónico. Se debe activar la autenticación multifactor en esa cuenta y revisar las direcciones de recuperación y el historial de inicio de sesión.

El usuario debe actuar con cautela ante los mensajes con amenazas, chantajes, solicitudes de pago o alertas de cuenta que reciba en la dirección de correo electrónico asociada al incidente. Los atacantes pueden dar credibilidad al mensaje utilizando detalles como el nombre del sitio utilizado anteriormente, el nombre de usuario, la región asociada a la IP o la fecha de nacimiento. No se debe responder a esos mensajes, abrir sus archivos adjuntos ni intentar iniciar sesión a través de sus enlaces. Si es necesario, también se deben revisar las listas de reglas del correo electrónico, la configuración de reenvío y las sesiones recientes.

A largo plazo, se debe utilizar una contraseña única y segura para cada servicio. Un gestor de contraseñas es una herramienta eficaz para detectar la reutilización de contraseñas antiguas y almacenar las nuevas de forma segura. Si la dirección de correo electrónico utilizada para registros de carácter sensible puede mantenerse separada de las comunicaciones cotidianas del trabajo y la familia, el riesgo disminuye. No repetir el mismo alias en distintas comunidades también reduce la probabilidad de que se vinculen las identidades.

Los usuarios deben revisar periódicamente sus registros antiguos en distintos servicios, cerrar las cuentas que ya no utilicen y mantener una configuración de privacidad estricta. Cuando se filtran datos como la actividad en el sitio, los ataques pueden dirigirse no solo a la información de acceso, sino también a los intereses personales. Por tanto, el plan de seguridad no debe limitarse a cambiar contraseñas: debe abordar conjuntamente la seguridad del correo electrónico, la autenticación multifactor, la eliminación de cuentas antiguas y la reducción del rastro de identidad.

Quien vea el resultado de Naughty America en LeakData debe considerar primero los datos verificados del incidente: 1 398 630 cuentas, fecha del incidente del 14 de marzo de 2016, direcciones de correo electrónico, direcciones IP, fechas de nacimiento, nombres de usuario, contraseñas y actividad en el sitio. Esta información exige evaluar conjuntamente el riesgo de apropiación de cuentas y el riesgo para la privacidad. La prioridad del usuario debe ser dejar de reutilizar contraseñas antiguas, reforzar la seguridad de su cuenta de correo electrónico y dificultar que se vincule el mismo rastro de identidad entre distintos servicios.

En este incidente, los campos de teléfono, tarjetas de pago, documentos oficiales de identidad, mensajes privados y fotografías no están verificados, por lo que el plan de acción no debe basarse en ellos. En cambio, dado que los campos de contraseña y correo electrónico conllevan un riesgo cierto, se debe dar prioridad al uso de contraseñas únicas y autenticación multifactor en todas las cuentas vinculadas. Debido al carácter sensible del registro en el sitio, el usuario debe tomarse en serio los mensajes con chantajes o amenazas; no obstante, debe evitar acciones precipitadas, como realizar pagos, responder o hacer clic en enlaces.