Taobao Presunta exposición de datos

Las dos categorías de datos validadas son las direcciones de correo electrónico y las contraseñas. Las contraseñas almacenadas en texto plano suponen un riesgo elevado porque pueden probarse directamente, sin necesidad de intentar obtenerlas a partir de un hash. Si la misma contraseña se reutilizó en el correo electrónico, en servicios de compras, en redes sociales o en otro servicio, un atacante puede intentar acceder a esas cuentas mediante ataques de reutilización de credenciales. Una combinación de dirección de correo electrónico y contraseña también puede hacer más convincentes los mensajes falsos sobre pedidos, pagos, verificación de cuentas o restablecimiento de contraseñas. Como la atribución a Taobao es incierta, la evaluación del riesgo debe tener en cuenta tanto la aparente autenticidad de algunos datos como la incertidumbre sobre su origen.

La fecha registrada, el 1 de enero de 2012, no es la fecha exacta de un ataque; es una referencia anual que indica que el suceso se sitúa aproximadamente en 2012. El conjunto de datos se asoció con 21 149 008 registros de cuentas, y se observaron indicios de información de usuarios reales en las combinaciones de correo electrónico y contraseña. No fue posible establecer la atribución de forma concluyente por cuestiones relacionadas con el idioma, los nombres de dominio y el contexto de los servicios locales, junto con la dificultad para obtener confirmaciones coherentes de las personas afectadas. Por ello, el registro se publica como no verificado: no se puede descartar sin más que el conjunto de datos sea auténtico, pero tampoco se ha demostrado que proceda de los sistemas de Taobao. La cifra de 21 149 008 corresponde a las cuentas del conjunto de datos; como no se conocen por completo su origen ni los métodos de eliminación de duplicados, no debe tratarse como un recuento exacto de personas únicas. No se trata del incidente de extracción automatizada de datos de 2020.

Las personas que utilizaron Taobao alrededor de 2012 y reutilizaron la misma contraseña en otro servicio afrontan el riesgo práctico más claro. Aunque una cuenta antigua se haya cerrado o haya quedado en el olvido, su contraseña en texto plano puede haberse reutilizado posteriormente en cuentas de correo electrónico, de compras o de redes sociales. Las personas que mantuvieron la misma contraseña base con pequeños cambios también deben ser cautelosas, ya que los patrones antiguos pueden ayudar a un atacante a adivinar credenciales más recientes. La atribución no está verificada, por lo que una coincidencia de dirección no demuestra que la persona haya tenido una cuenta de Taobao. La dirección podría proceder de otro servicio, de una recopilación de varias fuentes o de una fuente etiquetada incorrectamente. Esta incertidumbre no elimina la necesidad de tomar medidas de seguridad; solo impide afirmar de manera definitiva de qué empresa proceden los datos. Quienes no recuerden haber utilizado Taobao deben evaluar si la contraseña incluida les pertenecía y dónde la utilizaban en aquel momento.

Si reutilizó la contraseña antigua en cualquier otro servicio, cambie inmediatamente las contraseñas de todas las cuentas afectadas. Proteja primero el correo electrónico, ya que el acceso a este permite restablecer las contraseñas de muchos otros servicios. Genere una contraseña larga y única para cada cuenta, guárdela en un gestor de contraseñas de confianza y active la autenticación multifactor siempre que sea posible. Si aún utiliza la cuenta de Taobao, escriba manualmente la dirección oficial para cambiar su contraseña y, después, revise las sesiones activas y los datos de recuperación. No siga enlaces incluidos en mensajes inesperados sobre pedidos, reembolsos, entregas, pagos o verificación de cuentas; compruebe la transacción a través de la aplicación o del dominio oficial. Si todavía utiliza una pequeña variante de la contraseña antigua, sustituya las contraseñas derivadas del mismo patrón en lugar de cambiar solo la que coincida exactamente. La incertidumbre sobre la atribución no reduce la necesidad de actuar ante una exposición confirmada de contraseñas en texto plano.

Un gestor de contraseñas facilita la asignación de una contraseña aleatoria distinta a cada servicio, lo que evita que una credencial en texto plano de un conjunto de datos se convierta en la llave de otras cuentas. Mantenga activadas la autenticación multifactor y las alertas de nuevas sesiones en su correo electrónico, y conserve actualizadas las opciones de recuperación. Revise las cuentas antiguas con regularidad, cierre los perfiles de compras y de foros que ya no utilice y elimine los métodos de pago guardados que no sean necesarios. Crear contraseñas a partir de una misma palabra base añadiendo el nombre de un sitio o un año no es seguro, porque los atacantes pueden deducir el patrón. En los mensajes de suplantación de identidad, examine el dominio real, el destino del enlace y si la solicitud es habitual, en lugar de confiar en el nombre del remitente que se muestra. Las revisiones periódicas deben incluir los perfiles de compras inactivos y las direcciones de recuperación que no se hayan actualizado en años. Incluso cuando el origen de un conjunto de datos siga siendo incierto, centrarse en la exposición validada de contraseñas es más útil que presentar como un hecho una atribución especulativa a una empresa.

Compruebe su dirección de correo electrónico con LeakData para saber si coincide con el registro Taobao 2012 o con otra filtración conocida. Una coincidencia no significa que Taobao haya confirmado públicamente el incidente ni que la dirección proceda con certeza del servicio; significa que la dirección aparece en un conjunto de datos atribuido a Taobao cuya atribución no está verificada. Al tomar medidas, tenga en cuenta tanto la incertidumbre sobre la atribución como el hallazgo de contraseñas en texto plano. Si hay una coincidencia, identifique todas las cuentas en las que utilizó la contraseña antigua y proteja primero el correo electrónico y los servicios financieros y de compras. Si no cree haber tenido una cuenta de Taobao, determine si la contraseña le pertenecía y si la utilizó en otro servicio, sin hacer conjeturas sobre el origen de los datos. Utilice contraseñas únicas, un gestor de contraseñas y autenticación multifactor como medidas de protección permanentes.