Filtración de datos de ShockGore

Los tipos de datos verificados son direcciones de correo electrónico, información de género, direcciones IP, contraseñas, mensajes privados y nombres de usuario. Las direcciones de correo electrónico son el principal medio de contacto para los mensajes de phishing dirigidos. Los nombres de usuario aumentan el riesgo de vincular identidades en línea si se utiliza el mismo alias en otras comunidades. Las direcciones IP pueden permitir inferir la ubicación aproximada, el proveedor de servicios de internet y los hábitos de acceso. La información de género y los mensajes privados agravan el impacto sobre la privacidad.

Almacenar las contraseñas como hashes SHA-1 sin sal constituye una debilidad técnica importante. Sin una sal, una misma contraseña genera siempre el mismo valor hash, lo que facilita que los atacantes hagan pruebas con listas ya preparadas. SHA-1 no es un estándar moderno de almacenamiento de contraseñas; las contraseñas cortas, repetidas o basadas en palabras del diccionario son más fáciles de adivinar. Si se ha utilizado la misma contraseña en otras cuentas, el riesgo puede extenderse a cuentas de correo electrónico, redes sociales, videojuegos, servicios en la nube o servicios financieros.

La comparación de fuentes confirma que el incidente de ShockGore ocurrió el 11 de agosto de 2020, que el registro se incorporó el 20 de enero de 2022 y que hubo 73 944 direcciones de correo electrónico afectadas. Los campos de datos verificados son direcciones de correo electrónico, información de género, direcciones IP, contraseñas, mensajes privados y nombres de usuario. Se indica que las contraseñas se almacenaban como hashes SHA-1 sin sal. Los números de teléfono, las direcciones físicas, las tarjetas de pago, los documentos oficiales de identidad, los nombres reales, las fechas de nacimiento, las fotos, la información de compras y el historial de ubicaciones no figuran entre los tipos de datos verificados para este incidente.

Respetar estos límites es necesario para ofrecer al usuario una visión precisa del riesgo. La clasificación como información sensible se debe tanto a la temática del sitio como a la exposición de mensajes privados. Terceros pueden utilizar indebidamente la vinculación de una persona con un servicio de este tipo. Añadir campos no verificados genera falsas alarmas; en cambio, los correos electrónicos, las direcciones IP, los nombres de usuario, la información de género, los mensajes privados y los hashes de contraseñas SHA-1 sin sal son campos que requieren medidas directas.

El mayor riesgo afecta a las personas que reutilizan en otros servicios la contraseña que usaban en su cuenta de ShockGore. Aunque hayan cambiado la contraseña antigua, el riesgo persiste si siguen utilizando patrones de contraseña similares en distintas cuentas. Es más fácil vincular las identidades de quienes usan el mismo nombre de usuario en diferentes plataformas. Si la dirección de correo electrónico se utiliza para comunicaciones personales, laborales o familiares, los mensajes dirigidos a esa persona pueden resultar más creíbles.

Los usuarios que tienen mensajes privados también están en riesgo. Terceros pueden utilizar el contenido de esos mensajes, el material solicitado, los enlaces o las expresiones personales para amenazar o avergonzar a los usuarios. La combinación del nombre de usuario, la dirección IP y la información de género puede permitir al atacante mostrar un mensaje específicamente adaptado a esa persona. Por ello, el usuario debe revisar no solo su contraseña, sino también su cuenta de correo electrónico, las otras cuentas asociadas al mismo alias y las cuentas mencionadas en los mensajes privados.

El primer paso es asegurarse de que la contraseña antigua de la cuenta de ShockGore ya no se utilice en ninguna otra cuenta. Debe elegirse una contraseña nueva, única y segura para cada servicio en el que se use la misma contraseña o una similar. La cuenta de correo electrónico es prioritaria, ya que los enlaces para restablecer contraseñas y las alertas de seguridad suelen llegar a la bandeja de entrada. Debe activarse la autenticación de dos factores en la cuenta de correo electrónico y deben revisarse las direcciones de recuperación y las sesiones recientes.

El usuario debe actuar con cautela ante amenazas, avisos sobre cuentas, solicitudes de pago o mensajes de chantaje que hagan referencia al nombre del sitio, a su antiguo nombre de usuario o al contenido de sus mensajes privados. Que un mensaje incluya una dirección de correo electrónico real, la región asociada a una IP, información de género o un nombre de usuario no significa que sea fiable. No debe intentar iniciar sesión mediante el enlace, abrir archivos adjuntos ni compartir la información solicitada. Si es necesario, debe cerrar todas las sesiones de las cuentas correspondientes y mantener activadas las notificaciones de seguridad.

Utilizar una contraseña diferente para cada servicio es una regla básica de seguridad a largo plazo. Un gestor de contraseñas es una solución eficaz para detectar contraseñas antiguas reutilizadas y almacenar contraseñas seguras de forma protegida. El riesgo disminuye si la dirección de correo electrónico utilizada para las cuentas de comunidades de temática sensible puede separarse de las comunicaciones laborales y familiares cotidianas. Repetir el mismo nombre de usuario en distintas plataformas durante años facilita la vinculación de identidades; por ello, el uso de un seudónimo también debe formar parte del plan de seguridad.

Deben revisarse periódicamente las cuentas antiguas de foros y comunidades de contenido, cerrar las que ya no sean necesarias y reducir la información de los perfiles. Cuando se filtran mensajes privados, no solo la contraseña, sino también las comunicaciones anteriores forman parte de la superficie de riesgo. Los archivos de correo electrónico, las notificaciones antiguas de registro y los mensajes para restablecer contraseñas pueden utilizarse en intentos de ingeniería social. El plan de seguridad debe incluir, de forma conjunta, cambios de contraseña, protección del correo electrónico, autenticación multifactor y revisión y eliminación de cuentas antiguas.

Los usuarios que vean el resultado de ShockGore en LeakData deben tener en cuenta el incidente del 11 de agosto de 2020 y las 73 944 cuentas afectadas. Los campos verificados incluyen direcciones de correo electrónico, información de género, direcciones IP, nombres de usuario, mensajes privados y contraseñas. Los datos de contraseñas están asociados a hashes SHA-1 sin sal. Las prioridades del usuario son dejar de reutilizar contraseñas antiguas, reforzar la seguridad de su cuenta de correo electrónico, revisar otras cuentas que utilicen el mismo alias y actuar con cautela ante mensajes amenazantes que hagan referencia a información sensible.

Como en este incidente no se ha verificado la presencia de números de teléfono, direcciones físicas, tarjetas de pago, documentos oficiales de identidad, nombres reales, fechas de nacimiento, fotos, información de compras ni historial de ubicaciones, el plan de actuación no debe basarse en esos datos. En cambio, los campos de correo electrónico, dirección IP, información de género, nombre de usuario, mensajes privados y contraseñas sí conllevan un riesgo real. El usuario debe limitar la propagación de los efectos de este incidente a otras cuentas mediante contraseñas únicas, autenticación multifactor, revisiones del historial de sesiones y el hábito de no intentar iniciar sesión a través de enlaces.