Filtración de datos de Taringa de 2017

Los campos verificados son direcciones de correo electrónico, nombres de usuario y hashes de contraseñas MD5. Una dirección de correo electrónico puede servir como medio de contacto y de recuperación de cuentas, mientras que un nombre de usuario puede ayudar a relacionar la actividad de una persona en distintas comunidades, juegos o perfiles sociales. Estos datos pueden utilizarse para preparar mensajes que parezcan personalizados sobre avisos de la comunidad, restricciones de cuentas o restablecimientos de contraseñas.

MD5 es un algoritmo de hash antiguo que no se considera adecuado para el almacenamiento moderno de contraseñas. Que un hash figure en los datos no significa que la contraseña fuera visible en texto sin formato, pero sí aumenta considerablemente el riesgo para las contraseñas cortas, predecibles o reutilizadas. Revise no solo la contraseña de Taringa, sino también las cuentas de correo electrónico, compras, juegos y redes sociales en las que pueda haber usado la misma contraseña.

Los tipos de datos verificados no incluyen fechas de nacimiento, números de teléfono, direcciones físicas ni información de tarjetas de pago. Ese límite describe el alcance demostrado de este incidente; no significa que no se haya visto afectada otra información del servicio. Tampoco debe suponerse que cada coincidencia contiene una dirección de correo electrónico, un nombre de usuario y un hash de contraseña en la misma fila. Considere una coincidencia como una señal de riesgo personal y no dé por confirmados tipos de datos que no se hayan demostrado.

La fecha de referencia de esta página es el 1 de agosto de 2017 y el número de cuentas únicas es 27 971 100. Es posible que los totales históricos de datos sin procesar se hayan comunicado con cifras diferentes; el valor utilizado aquí corresponde al alcance verificado de direcciones de correo electrónico únicas. No representa el número total de miembros a lo largo de la existencia del servicio, su cantidad de usuarios activos ni a todos los usuarios de una comunidad en línea en América Latina.

Taringa se clasifica como un servicio de comunidad en línea y de contenido social. El incidente está asociado con ese servicio; los foros, redes sociales o sitios con nombres similares, así como aquellos en los que las personas usaron el mismo alias, no forman parte del alcance. Que una dirección de correo electrónico o un nombre de usuario aparezca en otro incidente no modifica los tipos de datos ni el número de cuentas afectadas de este incidente.

Las pruebas verificadas no permiten determinar el método de acceso inicial, la fecha en que se accedió a una base de datos ni qué detalles de su perfil compartió cada persona. El uso de sal criptográfica con los hashes de contraseñas no es un detalle confirmado para este registro. La fecha identifica el período asociado con el incidente; por sí sola, no indica cuándo aparecieron los datos por primera vez en línea, cuándo inició sesión una persona por última vez ni cuál es el estado actual de una cuenta.

Quienes reutilizaron una contraseña de Taringa en otros servicios deben tener la máxima prioridad. Debido a la protección antigua que ofrece MD5, las contraseñas débiles o reutilizadas pueden probarse en otros sitios. Cualquier persona que haya usado la misma contraseña en una cuenta de correo electrónico, una red social o una cuenta de compras que no sea de servicios financieros debe proteger esas cuentas con contraseñas distintas y seguras.

Las personas que usan el mismo nombre de usuario en varias comunidades también pueden ser objetivos más fáciles. Un atacante puede relacionar un nombre de usuario con una dirección de correo electrónico y hacerse pasar por un administrador de un foro, o imitar un aviso de infracción de las normas de contenido, una alerta de mensaje o una solicitud de verificación de cuenta. Que un mensaje contenga un nombre de usuario real no demuestra que el remitente represente al servicio.

Las cuentas antiguas que ya no se usan siguen siendo importantes. Aunque una persona no haya usado Taringa durante años, la dirección de correo electrónico incluida en los datos puede seguir siendo la dirección de recuperación de otra cuenta. Revise con regularidad las sesiones desconocidas, las reglas de reenvío, las opciones de recuperación y los avisos inesperados de restablecimiento de contraseña en ese buzón.

Primero, identifique dónde puede haber reutilizado una contraseña que usó en Taringa. Si utiliza la misma contraseña o una similar en otros servicios, cambie las contraseñas de esas cuentas por otras largas y únicas. Como una cuenta de correo electrónico sirve para recuperar el acceso a muchos servicios, dé prioridad a la revisión de su contraseña y de la configuración de autenticación multifactor.

Actúe con cautela ante correos electrónicos y mensajes de texto inesperados que afirmen proceder de Taringa o de un administrador de la comunidad. Antes de abrir un enlace, evalúe por separado el dominio del remitente, la acción solicitada y la dirección real de inicio de sesión. Para confirmar una alerta sospechosa, vaya directamente a la dirección oficial conocida del servicio en lugar de usar el enlace incluido en el mensaje.

Revoque el acceso si la configuración de la cuenta muestra un dispositivo, una sesión, una dirección de correo electrónico de recuperación o una aplicación conectada que no reconoce. Mantenga activadas las alertas de inicio de sesión y de cambio de contraseña en las cuentas importantes. Si detecta actividad sospechosa, utilice el canal de soporte oficial del servicio correspondiente y nunca facilite una contraseña, un código de un solo uso ni un documento de identidad a un remitente que se haya puesto en contacto con usted sin que lo solicitara.

Usar una contraseña larga y distinta para cada servicio es una de las medidas más eficaces para limitar el impacto de exposiciones antiguas de contraseñas. Un gestor de contraseñas puede generar contraseñas seguras y reducir su reutilización. Si el servicio ofrece autenticación multifactor, es preferible usar una aplicación de autenticación o una llave de seguridad física. Los códigos enviados por mensaje de texto añaden protección, pero no impiden por completo los contactos engañosos.

La privacidad del nombre de usuario también forma parte de una protección duradera. Elegir alias distintos para foros, juegos y redes sociales, en lugar de usar el mismo nombre de usuario en todas partes, dificulta que se relacionen distintos perfiles públicos. Revise los nombres visibles, las biografías de los perfiles y los datos de contacto públicos de sus cuentas antiguas en comunidades, y elimine los detalles innecesarios cuando sea posible.

Mantenga actualizada la información de recuperación de sus cuentas. Las direcciones de correo electrónico secundarias, los números de teléfono, los dispositivos conectados y las sesiones activas requieren revisiones periódicas. Actúe con rapidez si aparece un inicio de sesión desconocido, una regla de reenvío o un cambio en la configuración de seguridad. Estos hábitos protegen todas las cuentas en línea, no solo a las personas cuyos datos coincidan con el incidente de Taringa.

Utilice la comprobación de registros de esta página para saber si su dirección de correo electrónico coincide con los datos del incidente de Taringa. Una coincidencia indica que la dirección está dentro del alcance verificado; no demuestra que una contraseña siga siendo válida, que todos los tipos de datos aparecieran en su fila ni que una cuenta actual haya sido comprometida. Utilice el resultado como una señal de riesgo personal para dar prioridad a la revisión de contraseñas reutilizadas y a la seguridad de los mecanismos de recuperación de cuentas.

Si no hay coincidencias, aun así puede ser útil revisar direcciones de correo electrónico antiguas, nombres de usuario escritos de otras formas y cuentas de comunidades que ya no utiliza. La ausencia de coincidencias no garantiza que no haya datos personales en otros lugares de internet. Las contraseñas únicas, la autenticación multifactor, la revisión periódica de las cuentas y la confirmación por una vía independiente de los mensajes sospechosos siguen siendo la protección más fiable.