Presunta exposición de datos de Soft Flex Company

Antes de crear un registro para Soft Flex Company, se revisaron los registros existentes en función del título, la marca, el dominio, la fecha del incidente, el número de registros y las variantes ortográficas similares. Como no se encontró ningún registro que representara el mismo incidente, se mantuvo como un registro independiente. Para tomar esta decisión, se descartaron los registros que parecían similares, pero correspondían a otro dominio, a un periodo distinto o no aportaban respaldo suficiente.

Puede haber diferencias entre los recuentos aproximados de registros de las listas de destino y la cantidad de datos que se pueden verificar. Estas diferencias pueden deberse a las filas sin procesar, los correos electrónicos únicos, las cuentas duplicadas, los registros depurados, los perfiles de foros, los archivos de exportación antiguos o los conjuntos de datos reagrupados. En esta página se toma como referencia la cifra de 31 600, respaldada de forma coherente junto con los tipos de datos, y no la cifra más alta observada.

Dado que Soft Flex Company se dedica a los materiales de joyería, los productos para manualidades y las compras en línea, el impacto del incidente no debe considerarse únicamente un problema técnico de contraseñas. Aunque el usuario no recuerde su antigua cuenta en esta plataforma, es posible que siga utilizando el mismo correo electrónico y los mismos patrones de contraseña en otros servicios.

En este incidente, los campos de datos respaldados por la evidencia se limitaron a las direcciones de correo electrónico y las contraseñas en texto plano. El contexto de las compras de joyería y artículos para aficiones podría facilitar que los usuarios recibieran mensajes falsos de promociones más convincentes, basados en sus hábitos de compra e intereses anteriores.

En este incidente, el riesgo es mayor que el de una simple lista de correos electrónicos, ya que la evidencia respalda la presencia de contraseñas en texto plano. Los datos de contraseñas reducen el tiempo que los atacantes necesitan para probar distintas opciones, facilitan los intentos automatizados de inicio de sesión en otros servicios donde se utiliza la misma contraseña y hacen más convincentes los mensajes falsos sobre pedidos o cupones.

Aunque una dirección de correo electrónico por sí sola pueda parecer un dato personal limitado, al combinarse con un nombre de usuario, nombre completo, fecha de registro, fecha de visita, país, interés o información de contraseña, se convierte en un potente vector de ataque. Si el usuario utiliza la misma dirección de correo electrónico para cuentas de trabajo, compras, foros, videojuegos, salud, finanzas, redes sociales o entretenimiento, el impacto puede extenderse más allá de la plataforma afectada.

Aunque este incidente sea antiguo, sigue siendo relevante para la seguridad. Una parte considerable de los usuarios reutiliza patrones de contraseñas antiguas con pequeños cambios. Por ello, una filtración antigua como la de Soft Flex Company puede servir para intentar adivinar contraseñas, realizar ataques de relleno de credenciales y llevar a cabo intentos de phishing dirigido incluso años después.

El primer paso para los usuarios es recordar qué dirección de correo electrónico y qué contraseña pudieron haber utilizado en Soft Flex Company o softflexcompany.com. Si se han utilizado contraseñas de la misma familia en otras cuentas, no basta con cambiar la contraseña solo en el sitio afectado; todas las contraseñas reutilizadas deben sustituirse por contraseñas únicas y aleatorias.

Utilizar un gestor de contraseñas es una de las medidas más eficaces que se pueden tomar tras este incidente. Crear una contraseña distinta para cada sitio evita que una sola filtración afecte en cadena a otras cuentas. También deben revisarse las contraseñas antiguas guardadas en el navegador y eliminarse las débiles o repetidas.

La autenticación de dos factores es especialmente prioritaria para las cuentas de correo electrónico, los gestores de contraseñas, las cuentas financieras, los perfiles de redes sociales, las cuentas de búsqueda de empleo, videojuegos y compras, y los paneles de administración. La autenticación mediante una aplicación o una llave de seguridad física ofrece una protección más resistente que la verificación por SMS.

Deben revisarse las reglas de reenvío de la cuenta de correo electrónico, las direcciones de recuperación, las aplicaciones conectadas, la lista de dispositivos de confianza y las sesiones recientes. Aunque un atacante no pueda acceder directamente a la cuenta de Soft Flex Company, podría utilizar la cuenta de correo electrónico para atacar los procesos de restablecimiento de contraseña de otros servicios.

En los intentos de phishing se pueden utilizar el nombre del antiguo servicio, el nombre de usuario, la información del sector, el país, las aficiones, el historial de compras, la pertenencia a una comunidad o la fecha de registro. Los usuarios deben escribir la dirección por su cuenta en lugar de hacer clic directamente en los enlaces recibidos, no abrir archivos adjuntos sin verificarlos y desconfiar de los mensajes que presionan para actuar con urgencia.

También debe evaluarse el riesgo para los usuarios corporativos. Si un empleado utilizó su correo electrónico de trabajo en una cuenta aparentemente personal, se podría intentar usar la misma contraseña en los sistemas de la empresa. Por ello, son importantes los análisis de seguridad por dominio, la autenticación multifactor y los controles que detectan la reutilización de contraseñas.

Para los propietarios de sitios web, la principal lección se refiere al almacenamiento de contraseñas y la minimización de datos. El texto plano o los formatos hash que pueden vulnerarse rápidamente debilitan de forma directa la seguridad de los usuarios. En los sistemas modernos deben utilizarse métodos robustos de derivación de contraseñas, con sal y de ejecución lenta, y los formatos hash antiguos deben actualizarse gradualmente cuando los usuarios inicien sesión.

Deben auditarse periódicamente las copias de seguridad, los entornos de prueba, los archivos de exportación, el software antiguo de foros, los paneles de administración, los complementos y los permisos innecesarios. Muchas filtraciones de datos no se originan en la parte visible de la aplicación principal, sino en sistemas auxiliares olvidados o en cuentas con privilegios amplios.

En las organizaciones que no cuentan con un plan de respuesta a incidentes, se retrasan la notificación a los usuarios, el restablecimiento de contraseñas, la revisión de los registros de actividad y las comprobaciones de los sistemas conectados. Debe definirse de antemano qué sistemas se supervisarán, qué registros se conservarán, a qué usuarios se informará y qué copias de seguridad se revisarán.

Se utilizó la cifra de 31 600 porque los detalles y el periodo de agosto de 2018 respaldaban directamente ese número de registros; no se aumentó la cifra tomando como base el número cercano, pero distinto, de la fila de destino.

Durante la comprobación actual de los campos, el registro no se marcó como retirado porque el sitio parecía estar accesible.

Este registro no está marcado como perteneciente a una categoría sensible; sin embargo, la presencia de contraseñas en texto plano supone un riesgo alto para la seguridad de la cuenta.

En las cuentas relacionadas con las manualidades y las compras, al considerar conjuntamente las antiguas suscripciones a promociones, las notificaciones de pedidos y las contraseñas de las cuentas de cliente, debe comprobarse especialmente si se utiliza la misma contraseña en otras tiendas.

Se asoció una imagen de logotipo a Soft Flex Company y se mantuvo la dirección del sitio web como un nombre de dominio sin formato adicional. Esto se comprobó expresamente para evitar que el enlace se mostrara de forma incorrecta al crear la página.

En este registro se excluyeron expresamente los tipos de datos no verificados. Mostrar con claridad los campos respaldados por la evidencia aporta más valor a la confianza del usuario que crear una lista más larga de categorías de datos. El objetivo de las páginas sobre filtraciones de datos no es resultar intimidantes, sino explicar con claridad el alcance correcto y las medidas de seguridad aplicables.

Esta página se ha preparado para ofrecer información clara y aplicable bajo distintas denominaciones, como filtración de datos de Soft Flex Company, fuga de datos de softflexcompany.com, filtración de contraseñas de Soft Flex Company y datos de usuarios de Soft Flex Company. El texto explica los aspectos verificados y las medidas prácticas de seguridad.

Al consultar este registro, los usuarios deben evaluar no solo la cuenta de la plataforma afectada, sino también otras cuentas que hayan abierto con la misma dirección de correo electrónico. Las cuentas que reutilizan contraseñas antiguas son uno de los primeros objetivos de los atacantes. Cerrar las cuentas antiguas también ayuda a reducir el riesgo a largo plazo.

Para reducir la reutilización de contraseñas, las nuevas no deben incluir marcas, años de nacimiento, nombres de usuario, nombres de equipos, aficiones, ciudades ni añadidos fáciles de adivinar. Agregar un número pequeño o un carácter especial al final de una contraseña no la hace segura; las herramientas de los atacantes prueban estos patrones rápidamente.

La lista de comprobación de seguridad de la cuenta es clara: cambie la contraseña antigua, actualice todas las cuentas que utilicen la misma contraseña, active la autenticación de dos factores, revise la información de recuperación del correo electrónico, cierre las sesiones que no reconozca y acceda directamente a la dirección del sitio en lugar de utilizar enlaces de mensajes sospechosos.

Los equipos de seguridad deben evaluar este registro para detectar direcciones de correo electrónico que coincidan con los dominios utilizados por los empleados. Las direcciones de correo corporativo utilizadas en cuentas antiguas de foros, compras, medios de comunicación, videojuegos, citas o comunidades pueden enriquecer las listas de objetivos de los atacantes.

La minimización de datos es fundamental en incidentes de este tipo. No deben recopilarse campos de perfil innecesarios, las cuentas inactivas deben eliminarse conforme a políticas de conservación razonables, debe restringirse el acceso a los campos sensibles y las operaciones de exportación de datos deben someterse a una supervisión adicional.

En lugar de entrar en pánico, los usuarios deben poner en orden la seguridad de sus cuentas. Cerrar las cuentas antiguas y olvidadas, eliminar registros innecesarios en servicios, actualizar las direcciones de recuperación y activar las notificaciones de inicio de sesión en las cuentas importantes proporciona protección duradera.

El nivel de riesgo de esta página se clasificó como crítico, teniendo en cuenta el número de cuentas afectadas, el tipo de información de contraseñas, el potencial de las categorías de datos para facilitar la toma de control de cuentas y la presencia de credenciales reutilizables en el incidente. El nivel crítico no indica que se haya producido un uso indebido confirmado, sino que el usuario debe actuar con rapidez.

En conclusión, este registro de Soft Flex Company corresponde a una única filtración de datos del periodo de agosto de 2018 que afectó a 31 600 cuentas e incluía los campos de direcciones de correo electrónico y contraseñas en texto plano. Se recomienda a los usuarios utilizar contraseñas únicas, activar la autenticación de dos factores, revisar los ajustes de seguridad de su correo electrónico y estar atentos a las alertas de inicios de sesión sospechosos.

Dado que en el registro de Soft Flex Company se evalúan conjuntamente la cifra, el título, el dominio y las categorías de datos, no se incorporaron a esta página los elementos ambiguos de listas que circulan bajo el mismo nombre. El registro que ve el usuario se limita al dominio y al periodo del incidente verificados.

Es especialmente importante mantener una lista sencilla de categorías de datos, ya que añadir campos sin respaldo distorsiona la evaluación del riesgo por parte del usuario. Por ello, las afirmaciones sobre datos distintos de las direcciones de correo electrónico y las contraseñas en texto plano no se presentan como campos de datos probados en este registro.

Es posible que los usuarios hayan olvidado sus antiguas cuentas asociadas al dominio softflexcompany.com. Si no se pueden cambiar las contraseñas de esas cuentas olvidadas, una prioridad más realista es encontrar otros servicios donde se utilice la misma contraseña y protegerlos.

Cuando un nombre de usuario, un correo electrónico o la información de un perfil se combina con otras filtraciones, a los atacantes les resulta más fácil deducir los intereses, el país, el sector o los hábitos de registro anteriores de una persona. Por ello, aunque una sola filtración parezca pequeña, el riesgo combinado es mayor.

Desde la perspectiva de las organizaciones, el uso del correo de trabajo en las cuentas personales de los empleados debe abordarse en la formación periódica de concienciación. Estos registros constituyen una señal de alerta para evaluar la reutilización de contraseñas y la visibilidad de las identidades corporativas en plataformas personales.

Si el usuario ve su propio correo electrónico en este registro, debe empezar por las cuentas más importantes: la bandeja de entrada del correo electrónico, la cuenta bancaria o de inversión, el gestor de contraseñas, el almacenamiento en la nube, las redes sociales y las cuentas de compras que utiliza con frecuencia.

Si es posible cerrar las cuentas, eliminar las antiguas e innecesarias también es una buena medida. En las cuentas que no se puedan cerrar, al menos debe establecerse una contraseña única, reducirse al mínimo la información del perfil y activarse las notificaciones de inicio de sesión.