Filtración de datos de The Post Millennial

Las categorías de datos verificadas son direcciones de correo electrónico, género, direcciones IP, nombres, contraseñas, números de teléfono, direcciones físicas y nombres de usuario. El correo electrónico y el nombre de usuario pueden utilizarse en intentos de acceso a cuentas; el teléfono y la dirección física, para contactar personalmente con los usuarios; y la dirección IP y la información de género, para vincular perfiles. Dado que se ha informado de que el campo de contraseña está en texto sin formato, los usuarios que reutilizan contraseñas pertenecen al grupo de mayor riesgo.

Como el incidente involucró distintos conjuntos de datos, no debe suponerse que todos los usuarios se vieron afectados en los mismos campos. En el grupo de autores y editores destacan los campos de dirección IP, dirección física y correo electrónico, mientras que, en los datos de suscripciones, cobran mayor importancia los campos de nombre, correo electrónico, nombre de usuario, teléfono y contraseña. Además, se ha informado de un gran conjunto de datos asociado a extensas listas de correo electrónico; como la titularidad y el alcance de las fuentes de esta parte de los datos solo pueden verificarse de forma limitada, el riesgo para el usuario debe evaluarse a partir de las categorías de datos verificadas y del contexto de la coincidencia.

El alcance se limita al incidente de The Post Millennial del 2 de mayo de 2024 y a 56 973 345 cuentas afectadas. El dominio verificado es thepostmillennial.com. El registro se añadió el 10 de mayo de 2024 y se modificó por última vez el 14 de mayo de 2024. Las categorías de datos se limitan a una lista verificada; no se incluyen datos de tarjetas de pago, cuentas bancarias, números de documentos oficiales de identidad ni datos de salud.

Como algunos detalles sobre las fuentes y la titularidad de las extensas listas de correo electrónico no están claros, esta descripción no amplifica afirmaciones que no se han confirmado. En su lugar, los campos que se muestran al usuario se basan directamente en las categorías de datos verificadas. Este enfoque reduce los falsos positivos y se centra en las medidas necesarias para la seguridad de la cuenta, sin presentar el impacto real del incidente como mayor o menor de lo que es.

El primer grupo en riesgo está formado por quienes se han suscrito al sitio o han creado una cuenta. Para estas personas, la combinación de correo electrónico, nombre de usuario, número de teléfono y contraseña supone un riesgo directo de apropiación de cuentas. Si utilizan la misma contraseña para el correo electrónico, las redes sociales, las compras, las suscripciones a noticias o las cuentas de trabajo, los atacantes pueden intentar iniciar sesión de forma automatizada en distintas plataformas.

El segundo grupo está formado por autores, editores y creadores de contenido que trabajan con el medio de comunicación. La presencia simultánea de los campos de dirección física, dirección IP y correo electrónico aumenta el riesgo de acoso dirigido, doxxing, solicitudes editoriales falsas y fraudes relacionados con contactos profesionales. Para quienes solo figuran en la extensa lista de correo electrónico, los principales riesgos son el phishing, el correo no deseado y los mensajes falsos de notificación de suscripciones.

Los usuarios afectados deben cambiar primero la contraseña de su cuenta de The Post Millennial y de todos los servicios en los que utilicen la misma contraseña. Las nuevas contraseñas deben ser únicas y largas y, si es posible, generarse con un gestor de contraseñas. También deben proteger la cuenta de correo electrónico y revisar el historial de inicios de sesión, las reglas de reenvío, las direcciones de recuperación y las alertas de seguridad inesperadas.

Debido a la presencia de los campos de número de teléfono y dirección física, los usuarios deben extremar la precaución ante mensajes falsos sobre envíos, suscripciones, soporte, donaciones, boletines o verificación de cuentas. En lugar de hacer clic en enlaces sospechosos, deben escribir manualmente la dirección del servicio y revisar la configuración de seguridad directamente desde la cuenta. Los autores y editores con un perfil público, así como otras personas conocidas públicamente, también deben revisar su seguridad física y su configuración de privacidad.

La protección a largo plazo comienza por dejar de reutilizar contraseñas por completo y considerar la cuenta de correo electrónico como un punto central de la seguridad. En cada servicio deben utilizarse una contraseña distinta y autenticación multifactor, además de revisar las sesiones periódicamente. Deben eliminarse las suscripciones antiguas a noticias, las cuentas que ya no se utilizan y los campos innecesarios del perfil; la información persistente, como los números de teléfono y las direcciones físicas, solo debe compartirse con los servicios necesarios.

Para los medios de comunicación y los servicios de suscripción, este incidente demuestra que los datos de suscripciones y los registros de autores y editores deben protegerse mediante políticas de seguridad separadas. No deben almacenarse contraseñas en texto sin formato; deben aplicarse medidas de minimización de datos y auditarse periódicamente los permisos de acceso. En el caso de las grandes listas de correo electrónico, debe llevarse un registro claro de la fuente, el consentimiento y el plazo de conservación.

Si encuentra una coincidencia, primero debe evaluar qué campos de datos son visibles. Si aparece un campo de contraseña, cambiarla y dejar de reutilizarla es una prioridad urgente. Si aparece un número de teléfono o una dirección física, debe prestar atención a las alertas sobre llamadas y mensajes falsos, así como sobre estafas relacionadas con su dirección. Si aparecen una dirección IP, un nombre de usuario y un nombre, también debe revisar las conexiones entre cuentas y la información de sus perfiles disponible públicamente.

La filtración de The Post Millennial es un incidente de seguridad de gran impacto debido a la exposición de datos de suscripciones a noticias y del equipo de contenidos en el mismo incidente. Cuando los usuarios adoptan medidas como utilizar contraseñas únicas, activar la autenticación multifactor, proteger el correo electrónico, verificar los mensajes sospechosos por un segundo canal y reducir la información personal innecesaria, disminuye considerablemente el riesgo de apropiación de cuentas e ingeniería social derivado de esta filtración.