Presunta exposición de datos de Pemiblanc

Los principales campos del conjunto de datos de Pemiblanc son las direcciones de correo electrónico y las contraseñas. Una dirección de correo electrónico por sí sola puede utilizarse para enviar correo no deseado, realizar ataques de phishing o enviar alertas falsas de inicio de sesión y mensajes de restablecimiento de cuentas. Sin embargo, el campo de contraseña supone el riesgo más grave: si se utiliza la misma contraseña en varios servicios, los atacantes pueden intentar tomar el control de cuentas en distintos sitios mediante intentos automatizados de inicio de sesión. Por este motivo, la lista no es solo una filtración de información de contacto, sino una recopilación de credenciales que conlleva un riesgo directo de acceso a las cuentas.

Las categorías de datos no incluyen tarjetas de pago, documentos oficiales de identidad, mensajes privados, información de salud, direcciones físicas ni datos de cuentas financieras. La evaluación del riesgo debe basarse en los pares de correo electrónico y contraseña. Como la mayoría de los usuarios no puede saber con certeza de qué servicio proceden las contraseñas, todas las cuentas importantes en las que se utilice la misma contraseña o una similar quedan expuestas al riesgo.

Para Pemiblanc, debe considerarse el 2 de abril de 2018 como fecha del incidente, el 9 de julio de 2018 como fecha de incorporación del registro y 110 964 206 como número de cuentas afectadas. Aunque el dominio figura como pemiblanc.com, el incidente no debe describirse como una única filtración procedente de la base de datos de clientes de una marca. Las pruebas disponibles muestran que la lista consta de pares de correo electrónico y contraseña procedentes de diversas filtraciones y que se trata de una recopilación que podría utilizarse en ataques de toma de control de cuentas.

Los registros de la categoría «no verificada» no deben superar la verificación. Esta clasificación no significa que la lista no contenga datos personales reales; solo exige un enfoque más prudente, porque no es posible demostrar de manera definitiva el origen y la exactitud de todas las filas. Por ello, el texto se centra en las medidas de seguridad que debe tomar el usuario, sin afirmar un origen concreto ni atribuir la responsabilidad a una única empresa.

El mayor riesgo corresponde a las personas que reutilizan el mismo correo electrónico y la misma contraseña en varios sitios. Si se ha utilizado la misma contraseña en cuentas antiguas de foros, videojuegos, compras, redes sociales o correo electrónico, esta lista ofrece a los atacantes una ventaja para realizar intentos rápidos. También están en riesgo los empleados que se registran en servicios personales con su dirección de correo electrónico corporativa, ya que las contraseñas reutilizadas aumentan la probabilidad de ataques contra cuentas de trabajo, servicios en la nube o portales internos.

Son más vulnerables las contraseñas que llevan mucho tiempo sin cambiarse, las cuentas familiares compartidas, las credenciales creadas con palabras fáciles de recordar sin un gestor de contraseñas y las cuentas con la autenticación de dos factores desactivada. Aunque la lista esté desactualizada, no se considera que el riesgo haya desaparecido, porque las contraseñas reutilizadas pueden probarse en distintos servicios incluso años después.

Los usuarios para los que se encuentren coincidencias en Pemiblanc deben identificar primero todas las cuentas que utilizan la misma contraseña y elegir una contraseña única y robusta para cada una. Deben dar prioridad especialmente a las cuentas de correo electrónico, los servicios bancarios y de pago, las redes sociales, los sitios de compras, el almacenamiento en la nube y las cuentas de trabajo. El cambio de contraseña no debe plantearse solo para el servicio asociado a Pemiblanc, sino para todas las cuentas en las que se repita la misma contraseña.

Se debe activar la verificación en dos pasos siempre que sea posible, revisar las sesiones recientes y los dispositivos conectados, y cerrar las sesiones que no se reconozcan. También se deben comprobar la dirección de recuperación y el número de teléfono de la cuenta de correo electrónico, y prestar atención a los mensajes inesperados de restablecimiento de contraseña. Utilizar un gestor de contraseñas facilita el almacenamiento de contraseñas únicas y largas para cada servicio.

A largo plazo, la defensa básica consiste en dejar de reutilizar contraseñas por completo y utilizar una verificación adicional en las cuentas importantes. Elegir una contraseña única para cada cuenta reduce considerablemente el impacto de las listas para ataques de reutilización de credenciales: los efectos de una filtración antigua de un servicio no pueden extenderse a otras cuentas. Los usuarios deben considerar su cuenta de correo electrónico como el centro principal de su seguridad, mantener una contraseña exclusiva para ella y exigir una verificación adicional.

Como medida adicional, las organizaciones pueden vigilar si las direcciones de correo electrónico de sus empleados aparecen en listas de credenciales conocidas, aplicar políticas que reduzcan la reutilización de contraseñas y examinar los patrones de las sesiones de las cuentas de alto riesgo. Dado que las listas antiguas de contraseñas no han desaparecido por completo, las filtraciones pasadas deben considerarse no solo datos históricos, sino también una señal relevante para la seguridad actual de las cuentas.

La consulta en LeakData muestra si la dirección de correo electrónico consultada se encuentra en el conjunto de datos de Pemiblanc. Un resultado positivo indica que la dirección aparece junto con una contraseña en una lista para ataques de reutilización de credenciales; sin embargo, no demuestra por sí solo de qué servicio procede la contraseña ni el origen exacto de cada línea de la lista. Debido a esta limitación, el usuario debe actuar con prudencia, pero sin demora.

Un resultado negativo solo significa que no se encontró ninguna coincidencia en este conjunto de datos; no descarta la posibilidad de que la dirección aparezca en otras filtraciones. Los usuarios que reciban un resultado positivo deben dar prioridad al cambio de contraseñas en todas las cuentas donde utilicen la misma, a la activación de la autenticación de dos factores, a la supervisión de las sesiones y al uso de un gestor de contraseñas. Lo más adecuado es dejar de utilizar todas las contraseñas antiguas y reutilizadas, y emplear credenciales únicas para cada cuenta.