Presunta exposición de datos de TodoTorrents

Las categorías de datos más relevantes del incidente son las direcciones de correo electrónico y las contraseñas en texto plano. Cuando estos dos campos aparecen juntos, existe un riesgo directo de que un atacante tome el control de las cuentas. Si un usuario ha utilizado la contraseña de TodoTorrents también en otras plataformas, los atacantes pueden intentar usar la misma combinación de correo electrónico y contraseña en cuentas de correo, redes sociales, juegos, foros, compras y pagos. Por ello, la gravedad del registro se ha clasificado como alta.

Los principales tipos de datos verificables son las direcciones de correo electrónico y las contraseñas. Los registros que indican la presencia de contraseñas en texto plano son especialmente críticos. Una contraseña en texto plano permite al atacante leerla directamente, sin necesidad de intentar recuperarla mediante ataques, y probarla en otros servicios. La dirección de correo electrónico también proporciona un identificador suficiente para identificar al usuario y dirigir los intentos de acceso con contraseñas.

Los recuentos de personas, los campos de datos y las afirmaciones de actores de amenazas que no se han verificado no se consideran parte del alcance público del incidente. Así se evita transmitir al usuario una certeza mayor de la que corresponde. Sin embargo, la combinación de correo electrónico y contraseña en texto plano ya supone, por sí sola, un riesgo elevado. Dado que los usuarios de torrents y foros pueden utilizar el mismo alias, correo electrónico o patrón de contraseña en varias plataformas, el impacto del incidente puede extenderse más allá de la cuenta de TodoTorrents.

En las fuentes, el nombre TodoTorrents aparece asociado tanto a la variante todotorrents.org como a todotorrents.com. La fecha del incidente se basa en la actividad técnica más antigua que puede verificarse mediante fuentes públicas. En la descripción, este intervalo se expresa como mediados de 2023.

Este enfoque busca reflejar la incertidumbre de forma controlada, en lugar de ocultarla. Desde la perspectiva del usuario, el riesgo práctico depende más del tipo de datos expuestos que de la fecha exacta. Cuando aparecen juntos correos electrónicos y contraseñas en texto plano, que el incidente se sitúe en junio o julio de 2023 no cambia las recomendaciones de seguridad. Cambiar las contraseñas, dejar de reutilizarlas y activar la autenticación de dos factores siguen siendo medidas fundamentales.

Antes de añadir un nuevo registro, se comprobó si había duplicados entre los registros existentes utilizando las variantes TodoTorrents, Todo Torrents, todotorrents.org y todotorrents.com. Al no existir una filtración con el mismo título, clave de registro o nombre de dominio, el registro se aceptó como único. Los registros existentes de plataformas de torrents corresponden a otros servicios y a otros incidentes; por ello, TodoTorrents no se ha fusionado con ellos.

Los registros de fuentes abiertas coinciden en el nombre, el nombre de dominio, el número aproximado de registros, la fecha de mediados de 2023 y la presencia de contraseñas en texto plano asociadas a correos electrónicos. Sin embargo, no se ha encontrado una declaración oficial completa del operador de la plataforma que confirme todos los detalles técnicos y el número de usuarios afectados. Por tanto, el grado de verificación sigue siendo limitado. El registro se ha añadido con un enfoque prudente y se limita a los campos verificables.

Si la contraseña de la cuenta de TodoTorrents se reutiliza en otros servicios, el mayor riesgo para el usuario es un ataque de relleno de credenciales. Los atacantes prueban la combinación de correo electrónico y contraseña en numerosos servicios mediante herramientas automatizadas. Un inicio de sesión exitoso, especialmente en una cuenta de correo electrónico, puede dar lugar a que se comprometan otras cuentas mediante sus procesos de restablecimiento de contraseñas.

El contexto de la plataforma de torrents también puede suponer un riesgo para la privacidad. Es posible que el usuario no quiera que se conozca su relación con esta plataforma. Los atacantes pueden enviar mensajes dirigidos utilizando la dirección de correo electrónico, la contraseña antigua o el nombre de la plataforma. Estos mensajes pueden abordar temas como derechos de autor, cierre de cuentas, pagos, verificación o situaciones que puedan avergonzar al usuario. Conocer la contraseña antigua no significa que el atacante tenga acceso a los dispositivos actuales ni a la cuenta de correo electrónico; sin embargo, si la contraseña se reutiliza, existe un riesgo real.

• La contraseña utilizada en TodoTorrents debe cambiarse en todos los servicios donde se haya usado.
• Debe darse prioridad a las cuentas principales, especialmente las de correo electrónico y las utilizadas para restablecer contraseñas.
• Debe dejar de utilizar contraseñas iguales o con patrones similares.
• Debe utilizar una contraseña única para cada cuenta mediante un gestor de contraseñas.
• Debe activar la autenticación de dos factores en los servicios que la admitan.
• No debe realizar pagos ante amenazas o mensajes sobre derechos de autor que incluyan la contraseña antigua.
• Debe acceder a las páginas de inicio de sesión escribiendo el nombre de dominio en la barra de direcciones, no mediante enlaces del correo electrónico.

La afirmación de que las contraseñas están en texto plano hace que este registro sea más grave que una simple filtración de una lista de correos electrónicos. Incluso una contraseña almacenada como hash puede recuperarse mediante ataques si se ha utilizado un algoritmo débil; sin embargo, con una contraseña en texto plano, el atacante no necesita esperar. Quien tenga los datos puede leer la contraseña de inmediato y probarla en otros sistemas. Por ello, los usuarios no deberían posponer el cambio de sus contraseñas.

No es seguro sustituir una contraseña antigua por otra con pequeños cambios. Los atacantes prueban automáticamente variaciones de la contraseña antigua añadiendo al final un año, un signo de puntuación o el nombre de una plataforma. Una contraseña segura es una cadena larga y aleatoria que no se deriva de la contraseña anterior. Por ello, utilizar un gestor de contraseñas es la solución más práctica.

Las plataformas de torrents pueden estar asociadas con los hábitos de acceso a contenidos y las preferencias en línea de los usuarios. Esto no se ha incluido en la descripción porque no se han verificado historiales de contenidos ni registros de descargas. Sin embargo, incluso la combinación del nombre de la plataforma, el correo electrónico y la contraseña puede indicar que un usuario está vinculado a una comunidad concreta. Esta información puede utilizarse en mensajes de chantaje o suplantación de identidad dirigidos al usuario.

En estos mensajes, los usuarios pueden encontrar amenazas legales, reclamaciones por derechos de autor, cancelaciones de membresía o solicitudes de verificación de cuentas. Aunque el mensaje parezca auténtico, no deben hacer clic en los enlaces, abrir los archivos adjuntos ni realizar pagos. La aparición de una contraseña antigua en el mensaje puede causar pánico; sin embargo, normalmente se trata solo de una copia de datos de una filtración antigua. Los usuarios deben seguir las medidas de seguridad y conservar el mensaje de amenaza como prueba.

El incidente de TodoTorrents muestra que incluso las plataformas pequeñas o de nicho necesitan aplicar estándares básicos de seguridad para almacenar contraseñas. Las contraseñas no deben almacenarse en texto plano y deben protegerse mediante algoritmos de hash de contraseñas sólidos y actualizados. Solo debe ser posible acceder a los paneles de administración, las copias de seguridad de las bases de datos y las herramientas de exportación de usuarios mediante cuentas autorizadas y verificadas.

Ante la sospecha de una filtración, debe forzarse el restablecimiento de las contraseñas de los usuarios, deben cerrarse las sesiones activas y se debe informar claramente a los usuarios sobre las categorías de datos que podrían haberse visto afectadas. No basta con enviarles un mensaje general de seguridad. Deben explicarse de forma explícita riesgos como la reutilización de contraseñas, la necesidad de dar prioridad a las cuentas de correo electrónico, los mensajes falsos sobre derechos de autor y la suplantación de identidad.

La filtración de datos de TodoTorrents es un registro de filtración asociado a la plataforma española de torrents TodoTorrents que, según lo publicado, habría afectado a aproximadamente 519 527 cuentas de usuario a mediados de 2023. Los principales tipos de datos que se habrían expuesto son las direcciones de correo electrónico y las contraseñas en texto plano. Esta combinación supone un riesgo de toma de control de cuentas y de acceso no autorizado a otros servicios para los usuarios que reutilizan contraseñas.

El registro no se ha marcado como verificado porque no existe una confirmación oficial de una fuente primaria. No obstante, se han añadido el nombre de dominio, la fecha, el número de registros y las categorías de datos para informar a los usuarios, ya que aparecen de forma coherente en registros abiertos de filtraciones. Los usuarios de TodoTorrents deben cambiar sus contraseñas antiguas en todos los servicios donde las hayan utilizado, proteger especialmente sus cuentas de correo electrónico, activar la autenticación de dos factores y ser cautelosos ante mensajes de amenaza que utilicen el nombre de la plataforma.

Las cuentas antiguas de plataformas de torrents suelen olvidarse; sin embargo, los atacantes no las olvidan. Las combinaciones de correo electrónico y contraseña pueden volver a circular durante años. Aunque el usuario crea que ya no utiliza la misma contraseña, el riesgo persiste si usa variaciones similares. Además, la dirección de correo electrónico antigua puede seguir configurada como dirección de recuperación en cuentas actuales.

Para protegerse a largo plazo, los usuarios deben hacer un inventario de sus cuentas, dejar de utilizar por completo las contraseñas antiguas, proteger de forma sólida su cuenta principal de correo electrónico y, si es posible, usar un correo distinto para las cuentas de torrents o foros. Las cuentas que ya no se utilicen deben cerrarse y, si no es posible hacerlo, debe asignárseles una contraseña aleatoria y única y deben cerrarse sus sesiones. Así, un conjunto de datos antiguo deja de ser útil para futuros ataques.

Que se observen dos cifras de registros cercanas, en torno a 519 mil y 522 mil, para TodoTorrents no significa que el incidente sea inventado. Estos registros pueden contarse de distintas formas, por ejemplo, según el número total de filas, el número de correos electrónicos únicos, el número de usuarios tras la depuración o la eliminación de filas dañadas.

Desde la perspectiva del usuario, lo más importante no es que la cifra varíe en varios miles, sino que los datos consistan en correos electrónicos y contraseñas en texto plano. Un atacante puede utilizar directamente esta combinación. Por ello, aunque la cuenta de TodoTorrents ya no se use, deben revisarse por seguridad todas las cuentas en las que se pueda haber utilizado la misma contraseña.

Sí. Que una cuenta ya no esté activa no impide que el correo electrónico y la contraseña filtrados se prueben en otros servicios. Si el usuario sigue utilizando la contraseña antigua en otra plataforma, el riesgo persiste. Además, las direcciones de correo electrónico antiguas pueden seguir figurando como direcciones de recuperación en cuentas actuales. Por ello, aunque la cuenta antigua de torrents esté cerrada, deben revisarse el historial de contraseñas y la configuración de recuperación.