Presunta exposición de datos de RegMe

La inclusión conjunta de campos como la dirección de correo electrónico, el nombre completo, el número de teléfono y el hash de la contraseña en un registro de RegMe aumenta el riesgo de ataques por varios canales. La dirección de correo electrónico puede utilizarse para el phishing; el número de teléfono, para fraudes mediante SMS o llamadas; y el nombre, para personalizar los mensajes. El hash de una contraseña no es una contraseña en texto plano; sin embargo, si se utiliza una contraseña débil o un método de hash obsoleto, pueden producirse intentos de descifrarla. Por el contexto de la plataforma de eventos, mensajes como invitaciones falsas, confirmaciones de inscripción, renovaciones de entradas, enlaces a reuniones o confirmaciones de pago pueden parecer más fiables.

Este registro aparece en listas de datos de acceso público con tamaños y campos similares; sin embargo, como la empresa no ha publicado una notificación verificable del incidente, el indicador de verificación en LeakData se ha dejado desactivado. El alcance se refiere al número aproximado de filas y no debe interpretarse como el número de personas únicas. Es posible que no todas las filas contengan todos los campos. El contenido de las actividades, la información de pago, los documentos de identidad y los mensajes privados no se han añadido como campos verificados de este registro. Las medidas de seguridad del usuario deben decidirse en función del riesgo práctico que supone la combinación de correo electrónico, teléfono y contraseña, aunque se trate de un conjunto de datos con un grado de certeza limitado.

Entre los usuarios en riesgo pueden estar quienes se hayan inscrito en un evento a través de RegMe o hayan compartido su número de teléfono y correo electrónico para asistir a una reunión o conferencia. El riesgo es mayor para quienes asisten a eventos corporativos, utilizan una dirección de correo electrónico de la empresa y reutilizan la misma contraseña en distintas herramientas de trabajo. Los atacantes pueden enviar enlaces con el pretexto de próximos eventos, cambios en los enlaces de reuniones, reembolsos, certificados de participación o verificación de inscripciones. Los usuarios cuyo número de teléfono figure en los registros también pueden verse expuestos a solicitudes de códigos de un solo uso por SMS o a llamadas de un supuesto servicio de asistencia. Por ello, las cuentas de trabajo y las personales deben evaluarse conjuntamente.

Los usuarios cuyas cuentas coincidan con el registro deben comprobar si la contraseña que pudieron haber utilizado en su cuenta de RegMe también se usa en otros servicios. Si esa misma contraseña o variantes similares se utilizan en cuentas de correo de trabajo, calendarios, videoconferencias, CRM, redes sociales o correo personal, deben cambiarse y debe activarse la autenticación multifactor. Los enlaces de eventos recibidos por teléfono o SMS no deben abrirse directamente; deben verificarse a través del canal oficial del organizador del evento. Los enlaces y archivos adjuntos inesperados en invitaciones de calendario deben examinarse con atención. Los usuarios corporativos deben informar a sus equipos de seguridad de la información si se encuentra una coincidencia con su dirección de correo electrónico.

Las plataformas de eventos no deberían conservar durante mucho tiempo datos de teléfonos y contraseñas que no sean necesarios; deberían utilizar métodos modernos de hash de contraseñas y reducir periódicamente los registros de eventos antiguos. Los usuarios deberían proteger sus cuentas de eventos de trabajo y personales con contraseñas distintas y, si es posible, utilizar una dirección de correo electrónico aparte para inscribirse en eventos. Las organizaciones deberían sensibilizar a sus empleados para que no utilicen en las plataformas de eventos las mismas contraseñas que en sus cuentas de trabajo. Los enlaces cortos y los archivos adjuntos inesperados en mensajes sobre eventos deben considerarse un riesgo. A largo plazo, la mejor defensa es dejar de reutilizar contraseñas y verificar por un canal independiente las solicitudes recibidas por teléfono.

La consulta en LeakData le ayuda a comprobar si su dirección de correo electrónico coincide con el registro de RegMe. Si hay una coincidencia, cambie primero las contraseñas de las cuentas en las que utilice la misma y active una verificación adicional en sus cuentas de correo electrónico y de trabajo. Dado que su número de teléfono también podría estar incluido, revise con atención los enlaces recibidos por SMS, las notificaciones falsas de actividades y las invitaciones a reuniones. Si no se encuentra una coincidencia, pueden quedar fuera registros antiguos creados con otra dirección de correo electrónico. Aunque este registro no esté confirmado mediante una notificación oficial, conviene mantenerse alerta ante posibles intentos de ingeniería social por el contexto de las actividades y el uso del teléfono.