Filtración de datos de TehetségKapu

Los tipos de datos que figuran en este incidente son los siguientes: direcciones de correo electrónico, nombres y nombres de usuario. El nombre y el nombre de usuario, junto con la dirección de correo electrónico, pueden utilizarse para enviar mensajes falsos relacionados con portales educativos, solicitudes o verificaciones de cuentas. El uso conjunto de estos campos puede dar lugar a la toma de control de cuentas, ingeniería social, fraude, ataques dirigidos en el entorno físico o vulneraciones de la privacidad.

En este registro no figuran campos de contraseña, fecha de nacimiento, documento de identidad oficial ni dirección; por ello, el nivel de sensibilidad se ha mantenido bajo, de acuerdo con estos campos de datos limitados. En los registros que contienen contraseñas, usar la misma contraseña o una similar en otros servicios es uno de los riesgos más importantes. En los registros sin contraseñas, los campos relativos al dispositivo, la ubicación, el teléfono, la dirección, la educación, las solicitudes de empleo o el contexto financiero pueden hacer que los mensajes dirigidos sean más convincentes.

El registro abarca aproximadamente 54 000 cuentas asociadas al nombre de dominio tehetsegkapu.hu. El incidente pertenece a la categoría de registros verificados. Al evaluar el alcance, se comprobaron por separado el número de cuentas, el nombre de dominio, el sector, el país y las categorías de datos. Los campos de datos mostrados al usuario se limitaron a los que realmente figuran en el registro.

El país se ha corregido de Estados Unidos a Hungría, y el sector se ha corregido para reflejar que se trata de un portal educativo y de talento. Esta delimitación es especialmente importante cuando hay nombres de marcas similares, registros que abarcan varios servicios o sectores sensibles. El registro no se ha fusionado con otro incidente ni se ha ampliado de una forma que pudiera generar registros duplicados, y el contexto de la empresa se ha aclarado en la medida de lo posible.

Están en riesgo los usuarios de TehetségKapu, los estudiantes o docentes registrados en el portal de la oficina de educación y las personas que utilizan el mismo nombre de usuario en otros servicios educativos. El principal riesgo para estas personas es que los datos filtrados puedan vincularse con información común utilizada en otras cuentas. Cuando se repiten la misma dirección de correo electrónico, el número de teléfono, el nombre de usuario, el identificador del dispositivo o la contraseña, los atacantes pueden intentar utilizar esos datos en distintos servicios.

El contexto del portal educativo puede utilizarse en solicitudes falsas o en mensajes falsos de verificación de cuentas, concursos o notificaciones institucionales. Para los usuarios corporativos, destacan el correo electrónico laboral y la información sobre el empleo; para los usuarios particulares, destacan la dirección, la fecha de nacimiento y el contexto de compras, ubicación o afiliación. En ámbitos como la educación, las telecomunicaciones, las finanzas, los viajes, la política, las solicitudes de empleo y las VPN, el propio contexto también puede aumentar el riesgo de ataques dirigidos.

Los usuarios afectados deben revisar sus cuentas de correo electrónico y comprobar si hay inicios de sesión sospechosos en los portales educativos donde utilizan el mismo nombre de usuario. Si figura una contraseña o un campo similar a una contraseña, los usuarios deben cambiarla en todas las cuentas donde utilicen la misma, usar una contraseña única y activar la autenticación multifactor cuando sea posible. Tomar medidas en una sola plataforma puede no ser suficiente.

Si hay campos como teléfono, dirección, fecha de nacimiento, identificador del dispositivo, documento de identidad oficial, solicitud de empleo o saldo de recompensas, los usuarios deben revisar la información de recuperación de la cuenta, las sesiones registradas, el reenvío de correo electrónico y los mensajes sospechosos. En las instituciones, se deben actualizar los procesos para responder a las alertas de los empleados, las facturas falsas y los intentos de verificación de cuentas.

Se debe reducir la cantidad de campos innecesarios en los perfiles de los portales educativos y dar preferencia al uso de nombres de usuario distintos o a una protección sólida de las cuentas en los diferentes servicios. A largo plazo, un gestor de contraseñas, las contraseñas únicas, la autenticación multifactor, el cierre de cuentas antiguas, la eliminación de campos innecesarios del perfil y la minimización de datos constituyen la base de la protección. Dado que los datos personales permanentes no pueden recuperarse, la defensa depende de reforzar las prácticas de uso de las cuentas.

Las empresas e instituciones deben reconsiderar el inventario posterior al incidente, los permisos de acceso, el almacenamiento de datos antiguos, los procesos de notificación y el uso de plataformas de terceros. Para los usuarios, evitar repetir la misma información de identidad en distintos servicios y adquirir el hábito de verificar las comunicaciones sospechosas a través de un segundo canal proporciona una protección duradera.

Si este registro coincide con sus datos, debe revisar su cuenta educativa y los demás portales escolares en los que utiliza la misma dirección de correo electrónico. Si encuentra una coincidencia, primero debe leer qué campos de datos figuran en el registro y después priorizar las medidas en función de esos campos. Si hay una contraseña, debe dar prioridad a cambiarla; si hay un documento de identidad oficial, al seguimiento de ese documento; si hay información de ubicación o del dispositivo, a la seguridad del dispositivo; y si se trata de educación o solicitudes de empleo, a la revisión de la cuenta de la institución.

Evaluación final: este registro no se ha marcado como sensible porque contiene datos limitados, pero, debido al contexto educativo, se ha señalado claramente el riesgo de mensajes dirigidos. Debe comparar este registro con el historial de sus cuentas y revisar por separado los servicios donde haya utilizado el mismo correo electrónico, teléfono, nombre de usuario o contraseña. Las llamadas, los mensajes, los correos electrónicos o las notificaciones de recuperación de cuentas que no esperaba deben considerarse de mayor riesgo tras el incidente.