Filtración de datos de Spytech

Los tipos de datos enumerados en este incidente son los siguientes: historiales de navegación, información de los dispositivos, direcciones de correo electrónico, nombres, contraseñas, información de compras y nombres de usuario. Los campos relativos al historial de navegación y al uso de los dispositivos son más privados que los datos habituales de una cuenta, ya que pueden revelar directamente el comportamiento de una persona en internet. La presencia conjunta de estos campos puede suponer un riesgo mayor que una filtración de direcciones de correo electrónico por sí sola, porque los atacantes pueden combinar indicios sobre las comunicaciones, la identidad, la ubicación, las compras o el acceso a cuentas de una misma persona para preparar intentos de phishing más convincentes.

Se han enumerado los valores hash de las contraseñas y los campos de las cuentas de los compradores; sin embargo, los nombres de usuario y los registros de actividad de los dispositivos supervisados plantean un riesgo distinto para la privacidad. Los usuarios deben prestar especial atención a los intentos de fraude que relacionen las contraseñas que utilizan en distintos servicios con una misma dirección de correo electrónico, números de teléfono e información de domicilio. Incluso si la filtración no contiene contraseñas, los campos de correo electrónico, teléfono, nombre y apellidos o dirección física son valiosos para la publicidad dirigida, la ingeniería social, las notificaciones falsas y el uso indebido de los mecanismos de recuperación de cuentas.

El registro abarca aproximadamente 5 600 cuentas asociadas al dominio de Spytech y a sus productos de software de supervisión. Por ello, limitamos el registro a los campos de datos disponibles, sin presentarlo como una declaración definitiva de la empresa. El incidente está verificado y se ha clasificado como sensible. Esta limitación del alcance es importante: no se alerta innecesariamente a los usuarios sobre tipos de datos que no figuran en la lista, pero tampoco debe subestimarse el impacto combinado de los campos enumerados.

Dado que el registro incluye tanto la cuenta del cliente como la actividad del dispositivo supervisado, la descripción no se ha limitado al riesgo para los compradores. En los casos en los que existe la posibilidad de duplicación o atribución incorrecta, también se han comprobado el título, el nombre de dominio, el país y el sector. No se han agrupado en este registro distintas plataformas con nombres similares ni servicios diferentes del mismo sector como si se tratara de un único incidente.

Están en riesgo las personas que compran productos de Spytech, los posibles objetivos de vigilancia que puedan haber utilizado dispositivos con software de supervisión instalado y los usuarios que hayan iniciado sesión en esos dispositivos. El principal riesgo para este grupo es la relación entre los datos filtrados y la seguridad de sus cuentas de uso cotidiano. Si un usuario utiliza la misma dirección de correo electrónico en distintos servicios de compras, videojuegos, comunidades, citas, trabajo o finanzas, los atacantes pueden emplear esta información para crear mensajes que parezcan proceder del servicio auténtico.

El historial de navegación, el uso de aplicaciones, las operaciones con archivos y los nombres de usuario pueden tener consecuencias graves para la privacidad, los secretos empresariales y la seguridad personal. Las direcciones de correo electrónico con un dominio corporativo también pueden ser vulnerables a ataques dirigidos a cuentas de trabajo. Para los usuarios particulares, campos como el teléfono, el domicilio, la fecha de nacimiento, la foto de perfil o la información de compras o dispositivos pueden dar lugar a la toma de control de cuentas, el phishing, el acoso, el seguimiento no autorizado y riesgos para la reputación.

Los usuarios afectados deben buscar indicios de software de supervisión malicioso en los dispositivos implicados, cambiar las contraseñas del correo electrónico y de las cuentas importantes desde un dispositivo seguro y cerrar las sesiones que no reconozcan. Cuando el registro contiene contraseñas o campos similares a contraseñas, los usuarios deben cambiarlas en todas las cuentas en las que utilicen la misma contraseña o una parecida, emplear contraseñas seguras y únicas y activar la autenticación multifactor siempre que sea posible. Si no se enumeran contraseñas en el registro, deben examinar con mayor cuidado los códigos de verificación inesperados, los enlaces y los archivos adjuntos recibidos por correo electrónico o teléfono.

Cuando los registros contienen información sobre el domicilio, la fecha de nacimiento, la identificación oficial, la foto de perfil o la ubicación, los usuarios deben actualizar las preguntas de verificación de identidad, revisar las opciones de recuperación de cuentas y estar atentos a la aparición de perfiles falsos que suplanten su identidad. Los usuarios corporativos deben informar al equipo de seguridad sobre si estos campos se están utilizando para dirigir ataques contra empleados.

Para proteger los dispositivos frente al riesgo del software de supervisión, es necesario actualizar el sistema operativo, realizar análisis con herramientas fiables de detección de software malicioso, limitar el acceso físico al dispositivo y mantener activadas las alertas de las cuentas. A largo plazo, utilizar una contraseña única para cada cuenta, un gestor de contraseñas y autenticación multifactor, revisar periódicamente las sesiones y cerrar las cuentas antiguas constituyen la base de la seguridad. Que una dirección de correo electrónico haya aparecido antes en distintos incidentes indica una acumulación de riesgos que no se limita a un único registro.

Tras incidentes de este tipo, puede no ser suficiente con cambiar la contraseña de la plataforma afectada. Si también se utilizan el mismo número de teléfono, la misma dirección de entrega, el mismo nombre de usuario o el mismo correo de recuperación en otros servicios, los atacantes pueden intentar acceder a distintas cuentas a partir de esos elementos comunes. Por ello, hacer un inventario de las cuentas y dar de baja las que ya no se usan proporciona una protección duradera.

Si encuentra una coincidencia con este registro, debe evaluar no solo la seguridad de la cuenta utilizada para la compra, sino también la de las personas sometidas a seguimiento o de quienes utilizan el mismo dispositivo. Este registro se ha elaborado para mostrarle directamente qué datos están en riesgo. Si encuentra una coincidencia, el primer paso no es entrar en pánico, sino utilizar contraseñas distintas en cada cuenta, cerrar las sesiones, revisar las notificaciones de seguridad y comprobar si hay inicios de sesión sospechosos.

Evaluación final: este registro se ha clasificado como un incidente sensible relacionado con software de supervisión porque contiene datos de carácter muy privado, como el historial de navegación y la actividad del dispositivo. Debe comparar la lista de campos de esta página con el historial de sus cuentas y actuar de inmediato, especialmente en los servicios en los que haya reutilizado la misma combinación de correo electrónico y contraseña. Después del incidente, debe prestar mayor atención a los mensajes sospechosos, las llamadas inesperadas y las notificaciones de recuperación de cuentas.