Credenciales polacas

Los tipos de datos observados en este registro son direcciones de correo electrónico y contraseñas. Dado que las contraseñas pueden aparecer en texto sin formato junto a las direcciones de correo electrónico correspondientes, el riesgo de que un atacante tome el control de una cuenta es alto. No se añadieron a la lista de categorías de datos campos no verificados de tarjetas de pago, cuentas bancarias, mensajes privados, historiales médicos ni información adicional de perfil; solo se conservaron los campos respaldados por la evidencia.

Dado que cada registro puede incluir información sobre el sitio web donde se utiliza la contraseña, los atacantes pueden intentar usarla en los servicios correspondientes. Una dirección de correo electrónico por sí sola supone un riesgo de recibir mensajes no deseados; cuando se combina con un número de teléfono, una dirección, una IP, una fecha de nacimiento, una contraseña, planes de viaje, datos parciales de una tarjeta o datos de un dispositivo, resulta más fácil para un atacante crear mensajes personalizados para el usuario. La evaluación del riesgo se realizó teniendo en cuenta este efecto combinado.

Se verificó un alcance de 1,2 millones de direcciones de correo electrónico únicas con fecha de mayo de 2023. Se conservaron los campos verificados y se excluyeron los no confirmados. El incidente no se combinó con conjuntos de datos de nombres similares, incidentes de la misma empresa ocurridos en otros periodos ni referencias incorrectas al sector.

Este registro no corresponde a una filtración de una única empresa; se mantuvo como una colección de información de identidad que podría utilizarse en varios servicios. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron dentro del contexto más acotado posible sin perder precisión. Cuando había incertidumbre, el indicador de verificación o el campo de sitio web se establecieron en consecuencia; de este modo, no se presentó al usuario una atribución ambigua de responsabilidad a una marca.

Entre los grupos de usuarios en riesgo pueden encontrarse quienes utilizan una dirección de correo electrónico polaca y reutilizan la misma contraseña en varios sitios. Los usuarios cuya información coincida con este registro también deberían evaluar otras cuentas en las que utilicen el mismo correo electrónico, número de teléfono, nombre de usuario o patrón de contraseña fuera del servicio correspondiente.

Es posible que el usuario no sepa qué servicio se vio afectado; por lo tanto, todas las contraseñas reutilizadas deben considerarse un riesgo. Si existe un contexto de correo corporativo, cuenta educativa, reserva de hotel, suscripción de telecomunicaciones, comunidad de videojuegos, donaciones a proyectos de código abierto o software de seguimiento, el riesgo de ingeniería social puede aumentar. Los detalles que parecen correctos no son, por sí solos, una señal de confianza.

Los usuarios afectados deben crear de inmediato una contraseña única para cada cuenta en la que utilicen la misma contraseña o una similar. Si el registro contiene un campo de contraseña, deben cambiarse las contraseñas de todas las cuentas que utilicen esa misma contraseña; si no contiene ese campo, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono, las notificaciones falsas, la privacidad y la vinculación de identidades.

En lugar de hacer clic en los enlaces del mensaje, se debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada de un gestor de contraseñas de confianza. Los mensajes sobre envíos, alertas de cuentas, recompensas de juegos, soporte, avisos para donantes, reservas de viajes, notificaciones de seguridad o renovaciones de suscripciones no deben darse por válidos sin verificarlos por un canal independiente.

Un gestor de contraseñas, contraseñas únicas y autenticación de dos factores constituyen la defensa básica frente a este tipo de colecciones de credenciales. Los usuarios deben revisar y eliminar periódicamente las cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario repetidos y la información desactualizada de teléfono y dirección. La regla básica debe ser utilizar una contraseña única para cada servicio y activar la autenticación de dos factores siempre que sea posible.

Por parte de los proveedores de servicios, se requiere minimizar los datos, proteger adecuadamente las contraseñas, supervisar los registros de acceso, eliminar las áreas innecesarias y tener preparados los procesos de notificación a los usuarios. Los servicios deben impedir las campañas de prueba de contraseñas mediante controles de acceso basados en el riesgo y límites a la frecuencia de los intentos. Explicar el alcance con precisión también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

Primero, el usuario debe realizar una comprobación en este registro con su dirección de correo electrónico. Si se encuentra una coincidencia, debe asumirse que los pares de direcciones de correo electrónico y contraseñas podrían probarse en distintos servicios, y deben dejar de utilizarse todas las contraseñas reutilizadas. No encontrar una coincidencia no descarta por completo que se haya utilizado otro correo electrónico o que se hayan reutilizado contraseñas anteriormente; también deben revisarse las cuentas críticas.

Este registro se verificó y se mantuvo marcado como sensible; no se describió como una filtración de una única empresa. En esta configuración, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco como texto original, no se añadieron campos no verificados y el indicador de sensibilidad solo se utilizó cuando el contexto de riesgo lo justificaba.