Ster-Kinekor Filtración de datos
La filtración de datos de Ster-Kinekor es un incidente de 2016 que afectó a datos de clientes y está vinculado a una vulnerabilidad de seguridad en el antiguo sitio web de la cadena de cines sudafricana Ster-Kinekor.
Tipos de datos expuestos
8- Fechas de nacimiento
- Direcciones de correo electrónico
- Géneros
- Nombres
- Contraseñas
- Números de teléfono
- Direcciones físicas
- Idiomas hablados
Acerca de esta brecha de datos
El registro contiene 1 619 544 direcciones de correo electrónico únicas. Los tipos de datos incluyen fechas de nacimiento, direcciones de correo electrónico, información sobre el género, nombres, contraseñas en texto plano, números de teléfono, direcciones postales e idiomas hablados.
Este registro muestra por qué es necesario evaluar por separado la presencia de campos del perfil, como la dirección, la fecha de nacimiento y el idioma hablado, junto con la información de correo electrónico y contraseña en las cuentas de socios y de programas de fidelización de cines. Almacenar contraseñas en texto plano supone un riesgo persistente para las cuentas en las que se haya utilizado la misma contraseña en el pasado. Por ello, se debe evaluar por separado no solo la cuenta de Ster-Kinekor, sino también todos los servicios en los que se utilice el mismo patrón de contraseña.
Tipos de datos filtrados y riesgos
Este registro se considera de alto riesgo porque contiene un campo de contraseña en texto plano. La combinación de correo electrónico, nombre, teléfono, dirección y fecha de nacimiento facilita la identificación de los usuarios. La presencia de la contraseña sin aplicar una función hash aumenta directamente el riesgo de que alguien tome el control de las cuentas de los usuarios que utilizan la misma contraseña en otras cuentas.
En el ámbito del cine y el entretenimiento, los mensajes falsos sobre entradas, cuentas de socio, programas de fidelización o campañas pueden resultar convincentes. El registro no incluye ninguna tarjeta de pago; sin embargo, está clasificado como sensible debido a las contraseñas en texto plano y a la abundancia de campos con información personal del perfil.
Alcance verificado y límites
Aunque la fecha del incidente figura como el 9 de marzo de 2017, informes fiables indican que la vulnerabilidad se encontró en el antiguo sitio web durante 2016. Se ha informado de que podrían quedar expuestas más de 6 millones de cuentas, con aproximadamente 1,6 millones de direcciones de correo electrónico únicas. Los campos de datos son compatibles con el registro existente.
Al explicar el alcance, se debe distinguir entre el recuento bruto de cuentas y el de direcciones de correo electrónico únicas. El resultado de LeakData muestra coincidencias de correo electrónico. El riesgo más importante para el usuario es haber reutilizado la antigua contraseña en texto plano en otras cuentas.
Grupos de usuarios en riesgo
Los usuarios en riesgo son los clientes que tienen una cuenta de Ster-Kinekor o una antigua cuenta de socio o de un programa de fidelización. Tienen prioridad quienes utilizan la misma contraseña en el correo electrónico, las redes sociales, las plataformas de pago u otras plataformas de entretenimiento.
Los usuarios cuyos datos incluyan la dirección, el número de teléfono y la fecha de nacimiento pueden ser objeto de mensajes falsos sobre campañas o reembolsos de entradas. Sin embargo, debido al campo de contraseña, la primera medida debe ser sustituir todas las contraseñas reutilizadas.
Medidas urgentes
Los usuarios para los que se haya encontrado una coincidencia deben cambiar la contraseña de todas las cuentas en las que utilicen la misma contraseña o una similar, si recuerdan la que usaban en Ster-Kinekor. Se deben revisar primero las cuentas de correo electrónico y las vinculadas a pagos.
En lugar de abrir directamente los enlaces recibidos, el usuario debe iniciar sesión desde la dirección web conocida o la aplicación oficial del servicio correspondiente. Que alguien que le llame conozca su nombre, correo electrónico, dirección, pedido o información del perfil no demuestra que sea de confianza. No se deben compartir códigos de verificación de un solo uso, información de tarjetas de pago ni contraseñas de cuentas en ninguna conversación con un servicio de asistencia.
Estrategias de seguridad a largo plazo
A largo plazo, adoptar el hábito de utilizar un gestor de contraseñas, contraseñas únicas y autenticación de dos factores, así como eliminar información personal innecesaria de las cuentas, reduce el riesgo. Reutilizar la misma dirección de correo electrónico en distintas plataformas facilita la combinación de datos de diferentes filtraciones; se puede considerar el uso de una dirección de correo electrónico o un alias independiente para las cuentas críticas.
Las filtraciones antiguas que contienen contraseñas en texto plano siguen suponiendo un riesgo incluso años después. Los usuarios deben abandonar por completo los patrones de contraseñas antiguos, utilizar un gestor de contraseñas y activar la autenticación de dos factores en las cuentas críticas.
Comprobación del registro y medidas para el usuario
La comprobación de LeakData indica si la dirección de correo electrónico consultada está presente en este registro. Un resultado positivo no significa necesariamente que todos los campos de datos pertenezcan con certeza a ese usuario; sin embargo, constituye una advertencia suficiente para tomar medidas preventivas. Un resultado negativo solo indica que no hay ninguna coincidencia en este conjunto de datos y no descarta la posibilidad de aparecer en otras filtraciones.
Un resultado positivo es una alerta de alta prioridad debido al riesgo que supone una contraseña en texto plano. Un resultado negativo significa que no hay ninguna coincidencia en este registro; también se debe comprobar si el mismo correo electrónico aparece en otras filtraciones de contraseñas.
Método de verificación y revisión editorial
LeakData compara el nombre del incidente, la fecha, la cantidad de registros afectados y los tipos de datos expuestos con fuentes accesibles. Los campos no verificados no se presentan como hechos, y los registros se actualizan cuando se dispone de nuevas pruebas.
Notificar errores u omisiones en la información
