No es SOCRadar

El único tipo de dato verificado son las direcciones de correo electrónico. Las contraseñas, los hashes de contraseñas, los números de teléfono, las direcciones físicas, la información de pago, los documentos de identidad y el contenido de las cuentas no figuran entre los campos verificados de este incidente. Aunque se trate de un único campo, la dirección de correo electrónico es un punto de partida importante en las cadenas de ataque. La presencia de una dirección en la lista puede indicar al atacante que la persona es un usuario real y está vinculada a un dominio concreto.

Las direcciones de correo electrónico se utilizan, en particular, para el phishing dirigido, el envío masivo de spam, los intentos de restablecimiento de contraseñas, la verificación de la creación de cuentas y el cruce con filtraciones antiguas. Las direcciones corporativas pueden ofrecer pistas sobre el nombre, el departamento o la empresa del empleado. En el caso de las direcciones personales, se puede intentar vincularlas con cuentas de redes sociales, compras, servicios financieros y solicitudes de empleo. Por tanto, aunque solo se haya verificado el campo de correo electrónico, el nivel de riesgo del incidente es alto debido al volumen de datos y a su posible uso indebido.

El alcance verificado comprende 282 478 425 direcciones de correo electrónico únicas y con un formato válido. En la publicación inicial se indicó un número de líneas superior; sin embargo, desde la perspectiva del usuario, la cifra que debe tenerse en cuenta es la de direcciones únicas. Se considera que la fecha del incidente es el 3 de agosto de 2024, y se incorporó a las listas fiables el 9 de agosto de 2024. Esta última fecha también coincide con la del último cambio verificado.

Los límites de este incidente deben quedar claros: la verificación confirma la exposición de la lista de correos electrónicos, pero no confirma que los sistemas de seguridad de SOCRadar hayan sido comprometidos. La descripción debe evitar afirmaciones categóricas como que los clientes de la empresa estuvieron directamente en peligro, que se expusieron sus sistemas internos o que se sustrajeron datos confidenciales de clientes. El nombre del registro también debe reflejar esta distinción; el mensaje al usuario debe centrarse en el riesgo asociado a la extensa lista de correos electrónicos, y no en la alegación de una vulneración de los sistemas de la organización.

El grupo en riesgo abarca a los usuarios particulares cuyas direcciones de correo electrónico figuran en la lista y a los dominios corporativos. Las direcciones de trabajo pueden convertirse en objetivos de mensajes relacionados con ventas, contabilidad, soporte, recursos humanos y suplantación de directivos. Los buzones de contacto general también pueden recibir mensajes con ofertas falsas, facturas falsas, supuestas advertencias de seguridad o contenido sobre archivos compartidos.

El riesgo para las direcciones personales aumenta cuando se utiliza la misma dirección en distintos servicios. Los atacantes pueden combinar estas direcciones con listas de contraseñas filtradas anteriormente para iniciar intentos de toma de control de cuentas. Dado que el único tipo de dato es el correo electrónico, no puede afirmarse que este incidente haya expuesto información financiera o datos de identidad oficial de la persona; sin embargo, la inclusión de la dirección en una lista verificada de objetivos puede hacer que los mensajes maliciosos que llegan a la bandeja de entrada parezcan más convincentes.

Los usuarios cuya dirección figure entre las coincidencias deben comprobar primero la seguridad de su cuenta de correo electrónico. La contraseña de la cuenta debe ser única y robusta, y no debe utilizarse en otros servicios. Se debe activar la autenticación de dos factores, mantener actualizados el correo electrónico y el teléfono de recuperación, y cerrar las sesiones desconocidas. Aunque la exposición de la dirección de correo electrónico por sí sola no exige cambiar la contraseña, esta revisión es prioritaria porque la cuenta de correo sirve como centro de recuperación de muchas otras cuentas.

El siguiente paso es revisar los hábitos de uso de la bandeja de entrada. Los usuarios deben comprobar el dominio del remitente y el contexto del mensaje antes de hacer clic en enlaces de mensajes relacionados con pagos, facturación, envíos, alertas de seguridad, archivos compartidos y verificación de cuentas. Las organizaciones deben tomar el incidente como una señal para actualizar las reglas de seguridad del correo electrónico, la concienciación de los empleados y las listas de direcciones de alto riesgo. No deben abrirse archivos adjuntos inesperados, y los mensajes que soliciten códigos de acceso deben verificarse por un segundo canal.

A largo plazo, los usuarios deben considerar el uso de alias de correo electrónico únicos o direcciones de contacto separadas para las cuentas importantes. Vincular cuentas financieras, empresariales y de directivos que sean críticas a una única dirección general genera riesgo. Utilizar un gestor de contraseñas, crear contraseñas diferentes para cada cuenta y cerrar las cuentas antiguas reduce la exposición. En el ámbito corporativo, mantener correctamente la configuración de DMARC, SPF y DKIM disminuye el riesgo de remitentes fraudulentos.

Las grandes listas de correos electrónicos pueden combinarse con otros conjuntos de datos con el paso del tiempo. Por tanto, el enfoque de seguridad no debe limitarse a este incidente. Debe comprobarse periódicamente si la misma dirección aparece en otros incidentes que incluyan contraseñas, nombres de usuario, números de teléfono o direcciones. Las soluciones de seguridad del correo deben bloquear enlaces y archivos adjuntos de riesgo, la formación de los empleados debe apoyarse en escenarios realistas de phishing y deben aplicarse verificaciones adicionales de inicio de sesión a las cuentas con privilegios elevados.

Si el resultado en LeakData es positivo, significa que la dirección de correo electrónico se encuentra en el conjunto de datos «No es SOCRadar». Este resultado no indica que el usuario tenga una cuenta en el servicio SOCRadar ni que sea cliente de la empresa. Significa que la dirección figura en una gran lista de correos electrónicos y que aumenta la probabilidad de uso indebido. El usuario debe reforzar la seguridad de inicio de sesión, especialmente en las cuentas importantes que utilicen la misma dirección.

Si el resultado es negativo, significa que no hay coincidencias en este conjunto de datos; sin embargo, la misma dirección puede aparecer en otras listas en otros momentos. Por tanto, deben mantenerse la supervisión periódica, las contraseñas únicas, la verificación en dos pasos y un uso cuidadoso del correo electrónico. Los equipos de seguridad corporativa deben considerar las direcciones pertenecientes a dominios que figuren en estas listas como una señal de alerta temprana para las defensas contra el spam y el phishing.