Filtración de datos de SuperHry de 2021

Al evaluar en conjunto los campos visibles en el registro de SuperHry, el riesgo no procede de un único tipo de datos. Cuando un mismo perfil de usuario contiene nombres de usuario, direcciones de correo electrónico, direcciones IP, información de género, nombres e idiomas hablados, los atacantes pueden preparar mensajes más personalizados y convincentes. Los identificadores de contacto, cuenta o perfil verificados en el registro aumentan el riesgo de ingeniería social y de vinculación de perfiles. Los datos del registro que aportan contexto adicional sobre la cuenta pueden facilitar que los mensajes fraudulentos parezcan formar parte de un proceso legítimo del servicio.

Los principales riesgos destacados en este incidente son los ataques dirigidos a cuentas de videojuegos, la vinculación de perfiles y los mensajes falsos de la comunidad. Los atacantes pueden combinar campos de los registros para preparar mensajes falsos de alerta sobre cuentas, restablecimiento de contraseñas, renovación de membresías, notificaciones de soporte o verificación de seguridad. Incluir en el mensaje datos de la cuenta que realmente figuran en el registro puede reducir la cautela del usuario. Por tanto, aunque el registro no contenga una contraseña, persiste el riesgo de vinculación de perfiles y de fraude dirigido.

El primer paso para los usuarios de SuperHry es contrastar los campos de este registro con sus propios hábitos de uso de las cuentas. Si han utilizado la misma información verificada de cuenta o de contacto en otros servicios, deben evaluar los mensajes recibidos teniendo en cuenta toda su identidad digital. Utilizar el mismo nombre de usuario en cuentas de redes sociales, juegos, foros, educación, viajes o compras aumenta el riesgo de vinculación de perfiles. Los usuarios no deben hacer clic directamente en enlaces inesperados; deben comprobar las operaciones de sus cuentas a través de los dominios que conocen, adoptar contraseñas únicas en las cuentas donde reutilizan una misma contraseña y activar la autenticación multifactor siempre que sea posible. También deben revisar con atención las solicitudes de verificación inesperadas que incluyan esa misma información verificada de contacto o de perfil.

Para las instituciones, un registro de SuperHry es importante para entender en qué contexto de datos aparecen los correos electrónicos o las cuentas personales de sus empleados en servicios externos. Si un empleado ha utilizado su correo electrónico corporativo en estos servicios, los atacantes pueden usar esa misma información en mensajes que simulen solicitudes de soporte, avisos de facturas, verificaciones de cuentas o comunicaciones internas. Los equipos de seguridad deben vigilar no solo las filtraciones que contienen contraseñas, sino también los campos verificados del registro relativos a la identidad, las cuentas, la comunicación y el contexto de uso, por el riesgo de ingeniería social que representan.

Por tanto, el registro de la filtración de datos de SuperHry se limita a los campos respaldados por la evidencia, pero merece atención por sus implicaciones de seguridad. Lo más adecuado para los usuarios es verificar los enlaces recibidos mediante un canal independiente, actualizar las opciones de recuperación de sus cuentas, revisar otras cuentas en las que utilicen la misma información y no aprobar precipitadamente solicitudes inesperadas de verificación o de pago. Esta página se ha actualizado para que quienes busquen información sobre la filtración de datos de SuperHry puedan conocer el número de registros, los campos de datos y las medidas de protección prioritarias sin exageraciones.

Esta última revisión del registro de SuperHry pretende garantizar que la lista de campos de datos siga siendo coherente con la descripción que ve el usuario. Quien realice la búsqueda debe encontrar en esta página únicamente los tipos de datos respaldados por la evidencia; no deben añadirse afirmaciones sobre otros campos solo para que el riesgo parezca mayor. Este enfoque ayuda a los usuarios particulares a elegir la medida de seguridad adecuada y a las organizaciones a distinguir qué datos de sus empleados están realmente en riesgo. El alcance actual de la categoría de datos se limita a los siguientes campos: nombres de usuario, direcciones de correo electrónico, direcciones IP, géneros, nombres e idiomas hablados.