Filtración de datos de Scam.com de 2016

Al analizar en conjunto los campos visibles en el registro de Scam.com, el riesgo no procede de un único tipo de dato. Cuando un mismo perfil de usuario contiene nombres de usuario, direcciones de correo electrónico, información sobre hashes de contraseñas, sales de contraseñas y datos de contraseñas, los atacantes pueden preparar mensajes más personalizados y convincentes. Los identificadores de contacto, cuenta o perfil verificados en el registro aumentan el riesgo de ingeniería social y de vinculación de perfiles. La información adicional sobre las cuentas que figura en el registro puede hacer que los mensajes falsos parezcan formar parte de un proceso legítimo del servicio.

Los principales riesgos destacados en este incidente son el phishing, la toma de control de cuentas y la ingeniería social. Los atacantes pueden combinar los campos del registro para preparar alertas de cuenta, restablecimientos de contraseñas, renovaciones de membresía, notificaciones de soporte o mensajes de verificación de seguridad falsos. El uso de datos de cuenta que realmente figuran en el registro puede reducir la cautela de los usuarios ante posibles amenazas. Por ello, aunque el registro no contenga una contraseña, persiste el riesgo de vinculación de perfiles y fraude dirigido. Si hay un campo de contraseña, el riesgo aumenta aún más, ya que se puede intentar utilizar esa misma contraseña, o una similar, en otros servicios.

El primer paso para los usuarios de Scam.com es comparar los campos enumerados en este registro con sus propios hábitos de uso de cuentas. Si han utilizado la misma información verificada de cuenta o de contacto en otros servicios, deben evaluar los mensajes recibidos teniendo en cuenta el conjunto de su identidad digital. Si también utilizan el mismo nombre de usuario en cuentas de redes sociales, videojuegos, foros, educación, viajes o compras, aumenta el riesgo de vinculación de perfiles. Los usuarios no deben hacer clic directamente en enlaces inesperados; deben comprobar las operaciones de sus cuentas a través de dominios conocidos, establecer contraseñas únicas en las cuentas donde reutilicen una misma contraseña y activar la autenticación multifactor cuando sea posible. Cuando los registros contengan información sobre hashes de contraseñas, también conviene revisar los patrones de las contraseñas antiguas: en lugar de hacer pequeños cambios de caracteres, es preferible usar contraseñas largas y completamente únicas.

Para las organizaciones, un registro de Scam.com es importante para comprender en qué contexto de datos aparecen los correos electrónicos o las cuentas personales de sus empleados en servicios externos. Si un empleado ha utilizado su correo electrónico corporativo en estos servicios, los atacantes pueden aprovechar esa misma información en solicitudes de soporte, notificaciones de facturas o verificaciones de cuenta falsas, así como en mensajes que imiten las comunicaciones internas. Los equipos de seguridad deben vigilar no solo las filtraciones que contienen contraseñas, sino también los campos verificados de identidad, cuenta, contacto y contexto de uso que figuran en el registro, por el riesgo de ingeniería social que representan.

Por tanto, el registro de la filtración de datos de Scam.com se limita a los campos respaldados, pero requiere atención por sus posibles repercusiones en la seguridad. Lo más adecuado para los usuarios es verificar los enlaces recibidos por un canal independiente, actualizar las opciones de recuperación de cuentas, revisar otras cuentas en las que utilicen la misma información y no aprobar de forma precipitada solicitudes inesperadas de verificación o pago. Esta página se ha actualizado para que quienes busquen información sobre la filtración de datos de Scam.com puedan conocer el número de registros, los campos de datos y las medidas de protección prioritarias sin exageraciones.

Esta revisión final del registro de Scam.com busca garantizar que la lista de campos de datos sea coherente con la descripción que ven los usuarios. Quien realice la búsqueda solo debe encontrar en esta página los tipos de datos respaldados; no se deben añadir afirmaciones sobre otros campos únicamente para que el riesgo parezca mayor. Este enfoque ayuda tanto a los usuarios particulares a elegir la medida de seguridad adecuada como a las organizaciones a distinguir qué datos de sus empleados podrían estar realmente en riesgo. El alcance actual de las categorías de datos se limita a los siguientes campos: nombres de usuario, direcciones de correo electrónico, metadatos de hashes de contraseñas, sales de contraseñas y contraseñas.