Filtración de datos de TigTag de 2021

Al evaluar conjuntamente los campos visibles en el registro de TigTag, el riesgo no procede de un único tipo de dato. Cuando un mismo perfil de usuario incluye direcciones de correo electrónico, nombres de usuario, información sobre hashes de contraseñas, datos de contraseñas y fechas de creación de cuentas, los atacantes pueden preparar mensajes más personalizados y convincentes. La información de contacto y los identificadores de cuentas o perfiles verificados en el registro aumentan el riesgo de ingeniería social y de vinculación entre perfiles. El contexto adicional de las cuentas incluido en el registro puede facilitar que los mensajes falsos parezcan proceder de un proceso legítimo del servicio.

Los principales riesgos destacados en este incidente son el phishing, la toma de control de cuentas y los ataques de ingeniería social. Los atacantes pueden combinar los campos del registro para preparar alertas de cuenta, mensajes de restablecimiento de contraseñas, renovaciones de suscripciones, notificaciones de soporte o mensajes de verificación de seguridad falsos. Incluir en el mensaje datos de la cuenta que realmente figuran en el registro puede reducir la cautela del usuario ante posibles amenazas. Por ello, aunque el registro no contenga una contraseña, persiste el riesgo de vinculación entre perfiles y de fraude dirigido. Si hay un campo de contraseña, el riesgo aumenta aún más, ya que se podría probar la misma contraseña, o una similar, en otros servicios.

El primer paso para los usuarios de TigTag es comparar los campos incluidos en este registro con sus propios hábitos de uso de las cuentas. Si se ha utilizado la misma información verificada de cuenta o de contacto en otros servicios, los mensajes recibidos deben evaluarse teniendo en cuenta la identidad digital en su conjunto. Si también se usa el mismo nombre de usuario en cuentas de redes sociales, videojuegos, foros, educación, viajes o compras, aumenta el riesgo de vinculación entre perfiles. Los usuarios no deben hacer clic directamente en enlaces inesperados; deben comprobar las operaciones de sus cuentas a través de dominios conocidos, establecer contraseñas únicas en las cuentas donde reutilicen una misma contraseña y activar la autenticación multifactor siempre que sea posible. Cuando los registros contienen información sobre hashes de contraseñas, también conviene revisar los patrones de las contraseñas antiguas y optar por contraseñas largas y completamente únicas, en lugar de hacer pequeños cambios de caracteres.

Para las instituciones, el registro de TigTag es importante para comprender en qué contexto de datos aparecen los correos electrónicos o las cuentas personales de sus empleados en servicios externos. Si un empleado ha utilizado su correo corporativo en estos servicios, los atacantes pueden usar esa misma información en mensajes que simulen solicitudes de soporte, notificaciones de facturas, verificaciones de cuentas o comunicaciones internas. Los equipos de seguridad deben vigilar no solo las filtraciones que contienen contraseñas, sino también los campos de identidad, cuenta, comunicación y contexto de uso verificados en el registro, por el riesgo de ingeniería social que representan.

Por tanto, el registro de la filtración de datos de TigTag se limita a los campos respaldados por la información disponible, pero requiere atención por sus implicaciones para la seguridad. Lo más adecuado para los usuarios es verificar los enlaces recibidos por un canal independiente, actualizar las opciones de recuperación de sus cuentas, revisar otras cuentas que utilicen la misma información y evitar aprobar de forma precipitada solicitudes inesperadas de verificación o pago. Esta página se ha actualizado para que quienes busquen información sobre la filtración de datos de TigTag puedan conocer el número de registros, los campos de datos y las medidas de protección prioritarias sin exageraciones.

Esta revisión final del registro de TigTag busca garantizar que la lista de campos de datos siga siendo coherente con la descripción que ve el usuario. Quien realice la búsqueda solo debe encontrar en esta página los tipos de datos respaldados por la información disponible. No deben añadirse afirmaciones sobre campos sin respaldo únicamente para que el riesgo parezca mayor. Este enfoque ayuda a los usuarios particulares a elegir la medida de seguridad adecuada y también permite a las organizaciones determinar qué datos de sus empleados pueden estar realmente en riesgo. La cobertura actual de las categorías de datos se limita a los siguientes campos: Direcciones de correo electrónico, Nombres de usuario, Metadatos de hashes de contraseñas, Contraseñas, Fechas de creación de cuentas.