VK Filtración de datos

Los tipos de datos verificados en el conjunto de datos de VK son direcciones de correo electrónico, nombres, contraseñas y números de teléfono. Las direcciones de correo electrónico pueden utilizarse para ataques de phishing dirigidos, estafas de restablecimiento de contraseñas y vinculación de cuentas. Los nombres permiten personalizar los mensajes. Los números de teléfono suponen un riesgo de llamadas de soporte falsas, fraudes por SMS y solicitudes realizadas con el pretexto de recuperar una cuenta de la red social.

La exposición de contraseñas en texto plano es el aspecto más crítico de este incidente. Una contraseña en texto plano permite al atacante probarla en otros servicios sin tener que descifrarla. Si la misma contraseña sigue siendo válida en distintas cuentas incluso años después, una antigua filtración de una red social puede convertirse en un problema actual de seguridad de la cuenta.

La fecha de la filtración de VK debe considerarse el 1 de enero de 2012; la fecha de incorporación del registro, el 9 de junio de 2016; y el número de cuentas afectadas, 93 338 602. Aunque el incidente se hizo público en 2016, los datos proceden de credenciales antiguas de la red social. Por tanto, al evaluar las fechas, no debe confundirse el momento del anuncio con la antigüedad de los datos de origen.

No debe irse más allá de las categorías de datos verificadas. Los campos que pueden indicarse con certeza para VK son direcciones de correo electrónico, nombres, contraseñas y números de teléfono. No debe afirmarse que se filtraron tarjetas de pago, cuentas bancarias, documentos de identidad, contenido de mensajes privados o listas de contactos de la red social. La explicación del riesgo debe basarse en cómo pueden utilizarse indebidamente estos cuatro campos de forma conjunta.

El principal grupo en riesgo está formado por las personas que tenían una cuenta de VK en 2012 o antes, o que han utilizado la misma dirección de correo electrónico y el mismo número de teléfono en redes sociales. Los usuarios que reutilizan la misma contraseña en cuentas de correo electrónico, otras redes sociales, juegos, compras, almacenamiento en la nube o trabajo corren un riesgo mayor. Olvidar una cuenta antigua no elimina el riesgo si la contraseña sigue utilizándose en otros servicios.

Los usuarios con números de teléfono deben extremar la precaución ante mensajes sobre supuestas recuperaciones de cuentas, alertas de seguridad, solicitudes de amistad, solicitudes de pago o llamadas de soporte. Los mensajes que incluyen el nombre y la dirección de correo electrónico pueden parecer auténticos. En particular, los contactos antiguos de la red social y otras cuentas creadas con el mismo nombre de usuario pueden facilitar que los atacantes finjan conocer a la persona.

Los usuarios para quienes se haya encontrado una coincidencia en los datos de VK deben cambiar la contraseña de su cuenta de VK y de todas las cuentas en las que hayan utilizado la misma. Deben dar prioridad a las cuentas de correo electrónico, redes sociales, servicios de pago, sitios de compras, almacenamiento en la nube y trabajo. Las nuevas contraseñas deben ser largas, únicas y elegirse entre las almacenadas en un gestor de contraseñas.

Debe activarse la autenticación de dos factores en todas las cuentas importantes que la admitan, revisarse las sesiones activas y los dispositivos conectados, y cerrarse las sesiones que no se reconozcan. Antes de hacer clic en enlaces de alertas de seguridad de redes sociales recibidas por correo electrónico o teléfono, inicie sesión desde la dirección web conocida del servicio o su aplicación móvil oficial. No comparta códigos de un solo uso, contraseñas de cuentas ni enlaces de recuperación en ninguna interacción con soporte.

A largo plazo, las medidas básicas de protección son una contraseña única para cada servicio, un gestor de contraseñas y la autenticación de dos factores. Mantener durante años el mismo patrón de correo electrónico y contraseña en las cuentas de redes sociales facilita que se prueben datos de filtraciones antiguas en cuentas nuevas. Puede considerar el uso de una dirección de correo electrónico independiente o un alias para las cuentas críticas.

Los usuarios deben revisar periódicamente sus cuentas antiguas de redes sociales, cerrar las que ya no necesiten y mantener actualizados el correo electrónico y el número de teléfono de recuperación. Cuando se exponen los datos telefónicos y de correo electrónico, el riesgo no desaparece con un simple cambio de contraseña; es necesario mantener la precaución durante mucho tiempo ante mensajes de estafa personalizados, solicitudes de amistad falsas y solicitudes realizadas con el pretexto de recuperar una cuenta.

La comprobación de LeakData indica si la dirección de correo electrónico consultada se encuentra en el conjunto de datos de VK. Un resultado positivo significa que la dirección está presente en ese conjunto de datos y que los campos verificados deben tenerse en cuenta al evaluar el riesgo. Este resultado no demuestra que todos los campos estén completos para cada usuario; sin embargo, el riesgo asociado a las contraseñas en texto plano y a la información de contacto constituye una advertencia suficiente para tomar medidas de protección.

Un resultado negativo solo significa que no se encontró ninguna coincidencia en el conjunto de datos de VK; no descarta la posibilidad de que la dirección aparezca en otras filtraciones de datos. Los usuarios que obtengan un resultado positivo deben dejar de reutilizar contraseñas, activar la autenticación de dos factores, revisar las sesiones antiguas y verificar por un canal independiente los mensajes de seguridad de redes sociales recibidos por teléfono o correo electrónico.