Presunta exposición de datos de TorrentLeech

Las comunidades de torrents pueden considerarse entornos sensibles desde el punto de vista de la privacidad de los usuarios. Cuando se combinan nombres de usuario, direcciones IP, valores relacionados con las contraseñas y claves de acceso específicas del sitio, el riesgo no se limita a la seguridad de la cuenta: también puede afectar a la actividad del usuario y permitir vincular sus identidades en línea. En este incidente, hay registros que indican que las direcciones de correo electrónico estaban codificadas o cifradas, en lugar de aparecer como texto sin cifrar legible. Por ello, el riesgo relacionado con el correo electrónico se describe con cautela.

Las categorías de datos verificables son los nombres de usuario, las direcciones IP, los valores relacionados con una contraseña, los campos de correo electrónico codificados o cifrados y los valores de acceso específicos del sitio similares a una passkey. El nombre de usuario representa la identidad dentro de la plataforma. La dirección IP aporta información sobre el rastro de conexión del usuario. La contraseña o el valor hash de la contraseña pueden generar un riesgo de toma de control de la cuenta. Por su parte, el campo passkey puede corresponder a una clave de acceso especial que, en las plataformas de torrents, puede estar asociada al cliente del usuario o a sus enlaces de descarga.

Al combinar estas categorías de datos, un atacante no solo puede intentar iniciar sesión; también puede tratar de relacionar la actividad del usuario en la plataforma, el alias que utiliza en otras comunidades y sus hábitos de uso de enlaces. Aunque los campos de correo electrónico codificados no puedan leerse directamente, su combinación con otros campos puede contribuir a los intentos de vincular identidades. Por ello, el incidente se ha clasificado como de gravedad alta.

Los usuarios de comunidades de torrents suelen utilizar alias y acceder a comunidades privadas mediante invitación. En estas plataformas, una cuenta no se limita a un nombre de usuario y una contraseña; puede incluir información adicional, como la proporción entre datos compartidos y descargados, el historial, las relaciones entre usuarios derivadas de las invitaciones, la passkey y las conexiones de clientes. La exposición de esta información puede permitir relacionar los alias de un usuario en distintas plataformas o utilizarla en mensajes de ingeniería social.

La dirección IP tiene especial importancia. Por sí sola, no siempre permite identificar de forma concluyente a una persona; sin embargo, al combinarla con la hora, el nombre de usuario y el contexto de la plataforma, aumenta el riesgo de ataques dirigidos. En el caso de los usuarios que no utilizan una VPN, la dirección IP puede ofrecer pistas sobre la ciudad, el proveedor de servicios de internet o el tipo de conexión. Esta información puede hacer más convincentes los intentos de phishing o de toma de control de cuentas.

Antes de añadir este registro, se comprobó si había duplicados entre los registros existentes utilizando las variantes TorrentLeech, Torrent Leech, torrentleech.org y www.torrentleech.org. Los registros de Torrent Invites, Sumo Torrent u otras plataformas de torrents similares añadidos anteriormente no corresponden al mismo incidente: el dominio y la fecha del incidente son distintos. Por ello, TorrentLeech se ha tratado como un incidente de seguridad independiente.

Las listas disponibles reúnen información correspondiente a noviembre de 2020, el dominio torrentleech.org, alrededor de 555 mil usuarios y categorías de datos relacionadas con nombres de usuario, direcciones IP y contraseñas. Sin embargo, no se ha identificado ningún comunicado oficial completo del operador de la plataforma que confirme todos los detalles técnicos y el número de personas afectadas. Por ello, el registro se mantiene como no verificado. Para evitar afirmaciones excesivas sobre aspectos inciertos, la descripción se limita a las categorías de datos verificables.

Si la contraseña de la cuenta de TorrentLeech se ha utilizado en otros servicios, el usuario debe cambiarla de inmediato. En particular, deben revisarse las cuentas de correo electrónico, otras plataformas de torrents, los foros, las cuentas de juegos y los perfiles en redes sociales. Aunque la contraseña esté almacenada como un hash, las contraseñas débiles o reutilizadas pueden llegar a descifrarse. Si la contraseña se encuentra en un formato cercano al texto sin cifrar o sigue un patrón fácil de adivinar, el riesgo aumenta aún más.

Las passkeys o claves de acceso específicas del sitio también son importantes. En las plataformas de torrents, una passkey puede utilizarse para asociar el cliente con la cuenta del usuario. Si se expone uno de estos valores, un atacante podría generar tráfico en nombre de la cuenta del usuario, manipular la proporción entre datos compartidos y descargados o afectar a la credibilidad del titular de la cuenta. Por ello, si la plataforma ofrece opciones para renovar la passkey o cerrar sesión, deben utilizarse.

• Cambie la contraseña de TorrentLeech por una contraseña única y segura.
• Actualice las contraseñas de todas las cuentas de foros, juegos, correo electrónico y redes sociales que utilicen la misma contraseña.
• Si existe una opción para renovar la passkey o la clave del cliente, revoque el valor anterior.
• Revise las sesiones activas y los clientes conectados.
• Tenga cuidado con los mensajes dirigidos específicamente a usted que incluyan una dirección IP o un nombre de usuario.
• Genere una contraseña distinta para cada servicio con un gestor de contraseñas.
• Active la verificación en dos pasos en las cuentas que la admitan.

Que la contraseña esté almacenada como un hash no significa que no exista riesgo. Si el algoritmo de hash es débil, no se utiliza un valor de sal o el usuario ha elegido una contraseña sencilla, los atacantes pueden recuperar las contraseñas a partir de estos hashes. Además, si el mismo nombre de usuario aparece en otras filtraciones del conjunto de datos, los atacantes pueden probar en esta cuenta contraseñas sin cifrar filtradas anteriormente. Esta relación bidireccional hace que la combinación de conjuntos de datos antiguos y nuevos resulte más peligrosa.

Al cambiar sus contraseñas, los usuarios no deben limitarse a añadir pequeños elementos a las anteriores. Por ejemplo, añadir al final el año, un signo de exclamación o el nombre de la plataforma no es un método seguro. Los atacantes prueban estas variantes de forma automática. El método más seguro es generar una contraseña larga y aleatoria con un gestor de contraseñas, utilizarla en una sola cuenta y añadir autenticación de dos factores si es posible.

Las direcciones IP son una categoría de datos que requiere especial atención desde el punto de vista de la privacidad, sobre todo en el contexto de los torrents. Aunque una dirección IP por sí sola no revele la identidad real del usuario, al combinarla con la hora de conexión, el nombre de usuario y la información de la plataforma, aumenta el riesgo de elaboración de perfiles. Los atacantes pueden utilizar esta información para enviar mensajes más convincentes al usuario o para establecer vínculos con sus otras cuentas.

Si un usuario ha utilizado anteriormente una IP fija, una conexión doméstica o un proveedor de servicios de internet concreto, incluso los datos de IP antiguos pueden utilizarse en mensajes de ingeniería social. Por ello, no debe darse por hecho que los mensajes de amenaza o advertencia que incluyen una dirección IP sean pruebas auténticas de un acceso actual. La respuesta adecuada es cambiar las contraseñas de las cuentas, cerrar las sesiones, renovar las passkeys y evitar hacer clic en mensajes sospechosos.

Las plataformas de torrents y de comunidades basadas en invitaciones deben proteger, además de las contraseñas, los elementos específicos de la plataforma, como las passkeys, las invitaciones, las conexiones de clientes y los datos sobre la proporción entre lo compartido y lo descargado. Estos elementos pueden dar lugar al uso indebido de las cuentas de los usuarios y dañar su reputación dentro de la plataforma. Los paneles de administración, las tablas de usuarios y los archivos de copia de seguridad deben protegerse con controles de acceso estrictos.

Los hashes de contraseñas deben almacenarse mediante algoritmos modernos, valores de sal únicos y parámetros de coste suficientes. Los valores de passkey deben poder renovarse cuando sea necesario, y los valores anteriores deben revocarse rápidamente. Al notificar una filtración al usuario, se deben explicar con claridad no solo los cambios de contraseña, sino también la renovación de la passkey, la configuración del cliente y el control de las sesiones activas.

La filtración de datos de TorrentLeech figura en un registro asociado al dominio torrentleech.org y, según lo informado, habría afectado a aproximadamente 555 222 cuentas de usuario en noviembre de 2020. Las categorías de datos que, según los informes, quedaron expuestas incluyen nombres de usuario, direcciones IP, valores relacionados con contraseñas, campos de correo electrónico almacenados como hashes o cifrados y valores específicos del sitio similares a una passkey. Esta combinación supone un riesgo elevado para la seguridad de las cuentas y la privacidad, así como de uso indebido dentro de la plataforma.

El registro no se ha marcado como verificado porque no existe una confirmación oficial de una fuente primaria. Aun así, se ha incluido para advertir a los usuarios, ya que el dominio, la fecha, el número de registros y las categorías de datos aparecen de forma consistente en los registros de filtraciones de fuentes abiertas. Los usuarios de TorrentLeech deben cambiar sus contraseñas, renovar sus valores de passkey o de sesión, revisar las cuentas creadas con el mismo nombre de usuario y tener cuidado con los mensajes dirigidos específicamente a ellos que incluyan direcciones IP.

Los datos de este tipo de comunidades pueden volver a adquirir valor incluso años después. Un nombre de usuario antiguo puede relacionarse con un nombre de usuario en otra plataforma; una dirección IP antigua, con información de conexión de otros registros; y los hashes de contraseñas antiguos, con otras listas de contraseñas sin cifrar. Los atacantes no se limitan a un único conjunto de datos: al combinar registros de distintos periodos, crean un perfil más útil de su objetivo.

Por este motivo, el usuario debe tener en cuenta no solo su cuenta de TorrentLeech, sino todas las identidades que tiene vinculadas en el entorno digital. Las contraseñas únicas, el uso de direcciones de correo electrónico distintas, la autenticación de dos factores, la supervisión de las sesiones activas, la renovación de las passkeys y el cierre de cuentas antiguas innecesarias constituyen la base de la protección a largo plazo. Aunque se hayan olvidado las cuentas antiguas de comunidades de torrents, estas pueden seguir conteniendo pistas sobre la identidad y las contraseñas que resulten útiles para los atacantes.

En las plataformas de torrents, una passkey es un valor de seguridad distinto de una contraseña web convencional. Puede utilizarse para generar tráfico del cliente en nombre de una cuenta de usuario o para vincular las conexiones de descarga a la cuenta. Si este valor se filtra, cambiar únicamente la contraseña web puede no ser suficiente. El usuario también debe utilizar las opciones que ofrece la plataforma para renovar la passkey, cerrar sesión y eliminar los clientes conectados.

No revocar las passkeys antiguas puede permitir que un atacante afecte a la proporción entre datos compartidos y descargados de la cuenta, a su actividad o a su puntuación de confianza dentro de la comunidad. Por este motivo, TorrentLeech registra no solo la contraseña, el nombre de usuario y la dirección IP, sino también valores similares a una passkey. Las medidas más seguras para el usuario son restablecer la contraseña web, cerrar todas las sesiones activas, actualizar la configuración del cliente con la nueva clave y evitar los enlaces de descarga que funcionen con la clave anterior.