Filtración de datos de piZap en 2017

Los tipos de datos verificados son direcciones de correo electrónico, información de género, ubicaciones geográficas, nombres, contraseñas, perfiles de redes sociales, nombres de usuario y actividad en el sitio web. Esta combinación puede ayudar a los atacantes no solo a probar contraseñas, sino también a preparar mensajes de suplantación de identidad que parezcan más personales. Los campos como la información de perfil en un servicio de edición de fotos, los enlaces a redes sociales y los nombres de usuario facilitan la vinculación de los datos con la identidad en línea del usuario.

El campo de contraseña es el más crítico para la seguridad de la cuenta. Los hashes SHA-1 no se consideran un estándar sólido para almacenar contraseñas; las contraseñas débiles o reutilizadas son predecibles. Si la misma contraseña se utiliza en cuentas de correo electrónico, redes sociales, compras, juegos o servicios en la nube, el riesgo es mucho mayor. En este caso, las tarjetas de pago, los números de documentos oficiales de identidad y el contenido de mensajes privados no deben incluirse entre los tipos de datos verificados. La evaluación del riesgo debe basarse en las credenciales, la información de perfil y la probabilidad de ataques de ingeniería social dirigidos.

Se considera que la fecha del incidente fue el 7 de diciembre de 2017, y la fecha de incorporación verificada es el 16 de julio de 2019. El alcance se limita a 41 817 893 cuentas únicas. La venta posterior de los datos junto con otras recopilaciones de filtraciones ha prolongado el periodo de descubrimiento y visibilidad del incidente; por ello, los usuarios pueden encontrarse con el resultado incluso años después de la fecha de la filtración. Esto no significa que los datos se hayan filtrado recientemente, sino que un incidente antiguo se verificó y se hizo visible más adelante.

El nombre de dominio se ha verificado como pizap.com. El campo de país se ha dejado vacío porque no existe una verificación fiable y coherente del país de la empresa. El registro tiene el estado de verificado y el indicador de datos sensibles está desactivado, ya que los campos verificados no pertenecen a categorías especiales, como información financiera o identificación oficial. No obstante, la combinación de datos de perfiles de redes sociales, ubicación geográfica y contraseñas supone un riesgo elevado de toma de control de cuentas y fraude dirigido.

El grupo de mayor riesgo lo forman las personas que también utilizan la contraseña de su cuenta de piZap en otros servicios. Una cuenta antigua de edición de fotos puede parecer poco importante; sin embargo, si la misma contraseña sigue siendo válida en una cuenta más crítica, los atacantes pueden aprovechar esa información. En el caso de quienes han iniciado sesión con su perfil de redes sociales, el enlace al perfil puede facilitar que los atacantes identifiquen a la misma persona en distintas plataformas.

El riesgo de recibir mensajes dirigidos aumenta para quienes utilizan el mismo nombre de usuario en trabajos creativos, contenidos de redes sociales o comunidades en línea. Esto puede aprovecharse mediante mensajes sobre la coincidencia entre el nombre de usuario y el correo electrónico, falsas alertas de seguridad de la cuenta, notificaciones de acceso a fotos, verificaciones de conexiones con redes sociales o renovación de contraseñas. Si hay usuarios registrados con una dirección de correo electrónico corporativa, también es posible que se pruebe la misma contraseña en los sistemas de la empresa.

El primer paso es comprobar si la contraseña antigua que pudo haberse utilizado en la cuenta de piZap también se utiliza en otras cuentas. Si la misma contraseña, o una similar, sigue siendo válida en algún servicio, debe cambiarse de inmediato por una contraseña única y segura. Debe darse prioridad a las cuentas de correo electrónico, redes sociales, almacenamiento en la nube, pagos y trabajo. El uso de un gestor de contraseñas reduce el riesgo de reutilización.

Debe activarse la autenticación multifactor en todas las cuentas críticas que la admitan. Si se ha iniciado sesión con una cuenta de redes sociales, también deben revisarse las aplicaciones conectadas y los permisos de terceros. Debe cerrar las sesiones activas desconocidas, examinar con cuidado los mensajes inesperados de restablecimiento de contraseña y evitar hacer clic directamente en enlaces sospechosos. También conviene tener precaución ante mensajes falsos relacionados con piZap o la edición de fotos.

A largo plazo, debe eliminarse por completo la reutilización de contraseñas. Es posible recuperar contraseñas mediante ataques a los hashes de filtraciones pasadas, o combinar esos hashes con otros conjuntos de datos, incluso años después. Por ello, no basta con cambiar la contraseña una sola vez; utilizar una contraseña única para cada servicio y revisar periódicamente las sesiones debe convertirse en un hábito permanente. Para las cuentas críticas, si se admite el uso de una clave de acceso o una llave de seguridad física, deben priorizarse estas opciones.

Los enlaces a redes sociales y los nombres de usuario también deben formar parte del plan de seguridad. Los usuarios deben revisar periódicamente qué información han compartido en cuentas antiguas, qué servicios están vinculados a sus cuentas de redes sociales y a qué aplicaciones han concedido permisos. Cuando se filtran conjuntamente información de perfil, correo electrónico y datos de contraseñas, a los atacantes les resulta más fácil crear mensajes convincentes; por ello, la seguridad no debe limitarse a cambiar las contraseñas.

Si encuentra el resultado de piZap en LeakData, primero debe intentar recordar la dirección de correo electrónico, el nombre de usuario y la contraseña que utilizaba en este servicio. Debe comprobar si esa contraseña también se utiliza en otras cuentas y eliminar toda reutilización. Si utilizó el inicio de sesión mediante redes sociales, también debe revisar por separado los permisos de las cuentas vinculadas y el acceso de las aplicaciones de terceros.

La medida más adecuada es utilizar contraseñas únicas en todas las cuentas críticas, empezando por la de correo electrónico, activar la autenticación multifactor y cerrar las sesiones que no reconozca. También puede evaluar con mayor precisión su riesgo general comprobando junto a qué tipos de datos ha aparecido la misma dirección de correo electrónico en otras filtraciones. Este enfoque facilita comprender por qué la filtración de una antigua plataforma de edición de fotos puede seguir suponiendo un riesgo de seguridad hoy.