Lista de datos para spam: Onliner Spambot

En el incidente de Onliner Spambot se confirmó que los tipos de datos afectados son las direcciones de correo electrónico y las contraseñas. Las direcciones de correo electrónico pueden utilizarse para enviar spam, realizar ataques de phishing y seleccionar objetivos. Si se combinan con información sobre contraseñas, el riesgo aumenta, ya que los atacantes pueden intentar tomar el control de cuentas probando la misma combinación de correo electrónico y contraseña en distintos servicios. Estos ataques suponen un riesgo elevado, especialmente para quienes utilizan la misma contraseña en varias cuentas. Este riesgo puede afectar a cuentas de correo electrónico, redes sociales, compras, videojuegos, almacenamiento en la nube y herramientas de trabajo.

En este conjunto de datos, campos como el número de teléfono, la dirección física, la tarjeta de pago, el número de identificación oficial o los mensajes privados no figuran entre los tipos de datos verificados. El riesgo principal es la combinación de correo electrónico y contraseña. Es posible que no se pueda determinar para cada usuario si la contraseña está en texto plano o en otro formato; aun así, la presencia de un campo de contraseña exige cambiar rápidamente las contraseñas reutilizadas. Si las contraseñas antiguas siguen utilizándose en otras cuentas, el riesgo de seguridad persiste incluso años después del incidente.

El contexto de un bot de spam también plantea otro tipo de amenaza. Las cuentas de correo electrónico comprometidas o cuyas contraseñas se hayan adivinado pueden utilizarse para enviar mensajes maliciosos. Esto puede afectar no solo al titular de la cuenta, sino también a los amigos, clientes o compañeros que reciban correos de esa persona. Una factura falsa, una notificación de envío, una invitación a una reunión o una alerta de seguridad procedente de una dirección conocida puede resultar más convincente. Por ello, una coincidencia en Onliner Spambot pone de relieve tanto el riesgo de reutilizar contraseñas como el posible uso indebido de la cuenta de correo electrónico.

El alcance verificado es el siguiente: el conjunto de datos de Onliner Spambot, fechado el 28 de agosto de 2017, afecta a 711 477 622 cuentas únicas; se incorporó a los registros de filtraciones de datos verificadas el 29 de agosto de 2017; y los campos filtrados son direcciones de correo electrónico y contraseñas. El registro corresponde a una lista de spam y no debe considerarse la base de datos de clientes de una organización concreta. Por tanto, es correcto que los campos de dominio y sitio web permanezcan vacíos; el incidente no debe atribuirse a una sola marca ni a un único sistema de cuentas de usuario.

En este incidente, no se presupone que los usuarios se hayan registrado en un sitio web con ese nombre. La dirección de correo electrónico puede haber figurado en listas de distintas fuentes y haberse utilizado o probado posteriormente en una operación de spam. Por tanto, la coincidencia que aparece en la pantalla de resultados no indica que el usuario se haya registrado en un servicio llamado Onliner Spambot. Una interpretación más precisa es que la dirección, junto con la información sobre contraseñas si la hubiera, se encontró en archivos de datos utilizados en una operación de correo malicioso a gran escala.

No deben añadirse a la lista campos de datos no verificados. En este incidente, los datos de tarjetas de pago, cuentas bancarias, salud, direcciones físicas o números de teléfono no deben presentarse al usuario como si hubieran quedado expuestos, ya que no se han verificado. En cambio, los campos de correo electrónico y contraseña requieren medidas firmes para proteger las cuentas. Mantener un alcance limitado pero preciso evita tanto generar temores infundados como pasar por alto el riesgo real de reutilizar contraseñas.

Las personas que utilizan la misma contraseña en varios servicios forman el grupo de mayor riesgo. Si una contraseña se ha utilizado en un foro antiguo, un sitio de compras o una cuenta de videojuegos y después se ha repetido en cuentas de correo electrónico, redes sociales o trabajo, los atacantes pueden probar esas credenciales en otros sistemas. Si el usuario no recuerda dónde utilizó la contraseña, debe empezar por las cuentas críticas y adoptar una contraseña única para cada cuenta. La cuenta de correo electrónico debe protegerse primero, porque ocupa un lugar central en los procesos de restablecimiento de contraseñas.

El segundo grupo de riesgo está formado por empleados cuyas direcciones de correo electrónico corporativo aparecen en el conjunto de datos. Que la dirección y la contraseña de un empleado figuren en una lista de este tipo no demuestra que se haya accedido directamente a los sistemas de la empresa; sin embargo, proporciona credenciales que los atacantes pueden probar. La autenticación multifactor y el seguimiento de los intentos fallidos de inicio de sesión son especialmente importantes para las cuentas de los equipos de dirección, finanzas, recursos humanos, asistencia y áreas técnicas. Las organizaciones deben responder a un gran número de coincidencias del mismo dominio mediante restablecimientos masivos de contraseñas y avisos de concienciación.

El tercer grupo de riesgo está formado por personas que siguen utilizando direcciones de correo electrónico antiguas o patrones de contraseñas antiguos. Aunque la filtración de datos sea antigua, el usuario puede seguir usando el mismo patrón de contraseña en sus cuentas actuales. Los atacantes pueden intentar encontrar cuentas válidas comparando listas antiguas con nuevos conjuntos de datos. Por tanto, no es correcto fijarse solo en 2017 y dar por hecho que el riesgo pertenece al pasado; la cuestión fundamental es si esa misma información sigue utilizándose hoy en otras cuentas.

Los usuarios cuyas cuentas aparezcan en los resultados de Onliner Spambot deben cambiar primero las contraseñas de todas las cuentas en las que utilicen la misma contraseña o una similar. Deben priorizarse las cuentas de correo electrónico, banca, servicios de pago, redes sociales, herramientas de trabajo, almacenamiento en la nube y compras que se utilicen con frecuencia. Las nuevas contraseñas deben ser únicas, largas y aptas para guardarse en un gestor de contraseñas. Reutilizar una contraseña antigua con pequeños cambios no ofrece suficiente seguridad.

El segundo paso es activar la autenticación multifactor. La autenticación mediante una aplicación o una llave de seguridad física ayuda a proteger la cuenta incluso si la contraseña se ve comprometida. En la configuración de la cuenta deben revisarse las sesiones abiertas, los dispositivos no reconocidos, las direcciones de correo de recuperación y la actividad reciente de inicio de sesión. Deben cerrarse las sesiones sospechosas, actualizarse la información de recuperación y revisarse las reglas de reenvío del correo electrónico.

El tercer paso es extremar la precaución ante el spam y los mensajes fraudulentos. Dado que las direcciones relacionadas con este incidente pueden utilizarse en operaciones de correo malicioso, los usuarios deben tener cuidado con los archivos adjuntos inesperados, los enlaces a facturas, las notificaciones de envío y las alertas de seguridad de cuentas. En lugar de hacer clic en los enlaces, deben escribir manualmente la dirección del servicio correspondiente en el navegador y no compartir con nadie los códigos de verificación inesperados. Los usuarios corporativos deben informar de los mensajes sospechosos al equipo de seguridad.

Utilizar una contraseña única para cada cuenta es la regla básica de la protección a largo plazo. Un gestor de contraseñas facilita la gestión de contraseñas seguras y aleatorias para cientos de cuentas distintas. Los usuarios deben dejar de utilizar contraseñas antiguas y repetidas, mantener activadas las notificaciones de seguridad de las cuentas importantes y adoptar el hábito de comprobar periódicamente si sus datos aparecen en filtraciones. Así, la información que figure en una lista de un bot de spam puede quedar inutilizada sin que el riesgo se extienda a otras cuentas.

Para las organizaciones, una estrategia permanente consiste en supervisar periódicamente la presencia de los correos electrónicos de los empleados en conjuntos de datos externos y dar prioridad a las cuentas con privilegios elevados. Deben vigilarse los intentos fallidos de inicio de sesión, las ubicaciones inusuales, las sesiones en dispositivos nuevos y los cambios en el reenvío del correo electrónico. La probabilidad de que alguien tome el control de una cuenta disminuye cuando se combinan la formación para reducir la reutilización de contraseñas, la autenticación multifactor obligatoria, los controles de inicio de sesión basados en el riesgo y la compatibilidad con llaves de seguridad.

Este incidente también recuerda el papel central de la cuenta de correo electrónico en la identidad digital. Si una cuenta de correo electrónico se ve comprometida, un atacante puede iniciar el proceso de restablecimiento de contraseñas en muchos servicios. Por eso, son esenciales una contraseña única para la cuenta de correo electrónico, una autenticación de dos factores robusta, información de recuperación actualizada y revisiones periódicas de las sesiones. Los usuarios deben cerrar las cuentas antiguas, evitar el uso de direcciones que ya no utilizan para acceder a servicios críticos y tomarse en serio las alertas de seguridad.

Si su dirección de correo electrónico aparece en la filtración de datos de Onliner Spambot, no lo interprete como una indicación de que se registró en un sitio web concreto. Una interpretación más precisa es que su dirección de correo electrónico y, en algunos casos, información sobre contraseñas se encontraron en conjuntos de datos utilizados en operaciones maliciosas de spam. La prioridad es determinar si utiliza la misma contraseña en otras cuentas y sustituir rápidamente las contraseñas repetidas.

Si la comprobación muestra una coincidencia, cambie las contraseñas de sus cuentas críticas, empezando por su cuenta de correo electrónico, active la autenticación multifactor, revise las sesiones activas y vigile los mensajes sospechosos. La supervisión por dominio de las direcciones corporativas facilita la priorización de las cuentas de empleados con mayor riesgo. Las comprobaciones periódicas de los registros ayudan a detectar de forma temprana el riesgo derivado de la reutilización de conjuntos de datos antiguos en nuevos ataques.