Filtración de datos de Sonicbids

Los tipos de datos verificados son direcciones de correo electrónico, información sobre nombres, nombres de usuario y hashes de contraseñas. Una dirección de correo electrónico permite a los atacantes contactar directamente con el usuario. La información sobre el nombre y el nombre de usuario pueden ayudar a que los mensajes falsos parezcan personalizados. Con estos datos, pueden resultar más convincentes los mensajes sobre candidaturas de artistas, oportunidades de conciertos, solicitudes de reserva, intercambio de archivos o alertas de seguridad de la cuenta.

La presencia de información de contraseñas en forma de hash PBKDF2 no significa que la contraseña esté almacenada en un formato legible. Sin embargo, es posible adivinar contraseñas antiguas o débiles y probarlas en otras cuentas. En particular, si una cuenta de artista o representante utiliza la misma contraseña que las cuentas de correo electrónico, redes sociales, distribución musical, gestión de pagos o gestión de eventos, una sola filtración de datos podría generar un riesgo de acceso a un conjunto más amplio de cuentas.

La fecha registrada para la filtración es el 30 de diciembre de 2019; la fecha en que se verificó y se incorporó a las bases de datos de filtraciones es el 18 de agosto de 2020. El número de cuentas verificadas es de 751 700. El comunicado de la empresa indica que el acceso no autorizado se detectó tras un incidente de privacidad de datos relacionado con servicios de alojamiento en la nube de terceros, y que parte de la información de nombres de usuario y contraseñas quedó accesible durante un tiempo limitado. Esta información respalda considerar que el incidente se limitó a las credenciales de las cuentas de usuario.

El límite del alcance es claro. Los campos verificados son la dirección de correo electrónico, la información sobre el nombre, el nombre de usuario y el hash de la contraseña. Los números de teléfono, las tarjetas de pago, las cuentas bancarias, los pasaportes, los números de identificación oficial, las direcciones físicas, los datos de salud y el contenido de mensajes privados no son categorías de datos verificadas para este incidente. Tampoco debe afirmarse que se filtró la contraseña del usuario en texto plano; lo correcto es indicar que la información de la contraseña estaba en forma de hash y que la reutilización de contraseñas sigue planteando un riesgo grave.

El grupo de mayor riesgo está formado por personas que tienen en Sonicbids una cuenta de artista, banda, representante, presentación de candidaturas para eventos o contratación de actuaciones y que utilizan la misma contraseña en otros servicios. Los artistas independientes y los equipos pequeños suelen compartir cuentas, pueden utilizar la misma bandeja de entrada de correo electrónico o mantener abierto durante mucho tiempo el acceso de antiguos miembros del equipo. Estos hábitos facilitan que una sola filtración de contraseñas extienda el riesgo a distintas cuentas.

Para las agencias, los representantes y el personal de eventos, el riesgo no se limita a las cuentas personales. Las candidaturas, los archivos promocionales, los enlaces a redes sociales y los contactos de contratación de los artistas representados pueden utilizarse en mensajes dirigidos específicamente a ellos. Si se han creado cuentas en otras plataformas musicales con la misma dirección de correo electrónico, los atacantes pueden intentar vincular nombres de usuario y contraseñas antiguas. Si la cuenta de correo electrónico está protegida con la misma contraseña, los procesos de restablecimiento de contraseñas también pueden verse comprometidos.

El primer paso es asegurarse de que la contraseña antigua utilizada en la cuenta de Sonicbids ya no esté activa en ninguna cuenta. Si se utiliza la misma contraseña o una similar en cuentas de correo electrónico, redes sociales, distribución musical, venta de entradas, pagos, intercambio de archivos o paneles de gestión, debe asignarse una contraseña única y segura a cada una. Al cambiar las contraseñas, no basta con reutilizar la antigua con pequeñas modificaciones; debe utilizarse una contraseña completamente nueva y larga.

Debe activarse la autenticación de dos factores en todos los servicios que la admitan. También debe protegerse la cuenta de correo electrónico vinculada a Sonicbids, ya que los restablecimientos de contraseñas y las comunicaciones sobre contrataciones suelen realizarse por correo electrónico. Conviene actuar con cautela ante mensajes inesperados sobre candidaturas de artistas, contrataciones para conciertos, archivos adjuntos, solicitudes de pago urgentes o verificación de cuentas. En lugar de hacer clic en el enlace, debe acceder directamente al servicio correspondiente y revisar el historial de sesiones.

A largo plazo, debe utilizarse una contraseña única para cada cuenta de música, eventos, redes sociales y correo electrónico. Un gestor de contraseñas facilita la creación de contraseñas seguras y únicas sin generar confusión dentro del equipo. Debe reducirse el uso de cuentas compartidas y, siempre que sea posible, dar preferencia a las cuentas individuales y a los permisos basados en roles. Deben revocarse periódicamente los accesos de antiguos miembros del equipo, antiguos representantes o empleados que ya no desempeñen la función correspondiente.

Deben realizarse auditorías de seguridad de forma habitual en las cuentas de artistas y representantes. Conviene revisar a intervalos regulares las reglas de reenvío de correo electrónico, las cuentas de redes sociales vinculadas, las notificaciones de pagos, las comunicaciones sobre contrataciones y los permisos de intercambio de archivos. Debe actuarse con rapidez si se detecta un dispositivo no reconocido, un mensaje inesperado de restablecimiento de contraseña o un cambio sospechoso en el perfil. Esta práctica no solo mitiga el riesgo derivado del incidente de Sonicbids, sino que también reduce el impacto de filtraciones similares en el futuro.

Si ve un resultado de coincidencia, es posible que su dirección de correo electrónico estuviera entre las 751 700 cuentas asociadas a la filtración de datos de Sonicbids. Este resultado no significa que se hayan filtrado sus datos de pago, su dirección física o sus mensajes privados. Los campos verificados son la dirección de correo electrónico, la información sobre el nombre, el nombre de usuario y el hash de la contraseña. La primera comprobación consiste en determinar si la contraseña que utilizaba en Sonicbids en aquel momento se ha seguido utilizando en otras cuentas.

Si ha utilizado su antigua contraseña de Sonicbids en otros servicios, cambie la contraseña de esas cuentas. Revise también su cuenta de correo electrónico, sus perfiles de artista, sus cuentas de redes sociales, sus espacios de intercambio de archivos y sus contactos de contratación. Si detecta cambios en el perfil que no reconoce, actividad de presentación de candidaturas que desconoce o modificaciones de la información de contacto de la cuenta, póngase en contacto con el canal de asistencia correspondiente. La respuesta adecuada en esta situación no es ampliar la lista de campos de datos sin verificar, sino reducir los riesgos a largo plazo para la seguridad de las cuentas derivados de la combinación de correo electrónico, nombre, nombre de usuario y contraseña.