Filtración «Sus datos han sido extraídos mediante scraping» (You've Been Scraped)

Las categorías de datos verificadas son direcciones de correo electrónico, empleadores, ubicaciones geográficas, cargos, nombres y perfiles de redes sociales. Si se puede vincular una dirección de correo personal con una dirección de correo laboral de la misma persona, los atacantes pueden averiguar a qué organización pertenece, qué función desempeña y a qué perfiles se puede acceder. La presencia conjunta de estos campos supone un mayor riesgo de ataques dirigidos que el correo no deseado genérico, ya que el contenido del mensaje puede personalizarse según el cargo, la empresa, la ubicación y la trayectoria profesional.

Como no se verificó la presencia del campo de contraseña, este incidente no debe considerarse directamente una lista que permita tomar el control de cuentas. No obstante, el riesgo aumenta cuando la dirección de correo electrónico, el empleador, el cargo y la información del perfil social se vinculan con contraseñas o datos telefónicos de otras filtraciones. Los usuarios cuyas cuentas laborales utilizan el mismo formato de dirección de correo que sus cuentas personales, que publican información interna detallada sobre su puesto en el perfil o que mantienen públicos sus contactos profesionales pueden recibir mensajes de phishing más convincentes.

El alcance se limita al incidente del 5 de octubre de 2018 y a las 66 147 869 cuentas afectadas. Como no se pudo verificar quién era el propietario del conjunto de datos, el campo de dominio se deja vacío y el incidente no se presenta como una intrusión directa en los sistemas de una empresa concreta. Los campos obtenidos son de naturaleza similar a los datos recopilados de perfiles de redes sociales profesionales; por ello, la descripción se centra en los campos de datos verificados y en el impacto para los usuarios, en lugar de incluir referencias a marcas no confirmadas.

No se añaden contraseñas, información de pago, identificación oficial, fecha de nacimiento ni datos de salud a la lista de datos verificados. Aunque el empleador, el cargo y el enlace al perfil social no suponen por sí solos un riesgo tan evidente como los datos financieros, son información persistente que puede utilizarse para identificar a una persona y dirigir ataques contra ella. Por tanto, el registro no se marca como sensible, pero se considera una filtración de gran impacto para la identidad profesional y el fraude dirigido.

El principal grupo en riesgo está formado por usuarios cuyas direcciones de correo electrónico laborales o personales aparecen junto con información de sus perfiles profesionales. En el caso de quienes trabajan en recursos humanos, ventas, finanzas, dirección, compras, relaciones con los medios y equipos técnicos, esta información puede facilitar que un atacante establezca un primer contacto que inspire confianza. Cuando aparecen juntos el nombre del empleador, el cargo y el enlace al perfil social de una misma persona, una invitación falsa a una reunión, una oferta, una factura, un contrato o un mensaje de contratación pueden resultar más convincentes.

Para las organizaciones, el riesgo no se limita al buzón de correo del usuario afectado. Los datos expuestos de perfiles profesionales también pueden utilizarse para estimar la distribución interna de funciones, seleccionar contactos de la cadena de suministro o generar mensajes que suplanten a empleados de alto nivel. Por ello, además de que las personas afectadas protejan sus propias cuentas, los equipos de seguridad corporativa deben tratar con mayor cautela los enlaces, archivos y solicitudes de pago inusuales que lleguen al correo laboral.

Los usuarios afectados deben revisar primero el historial de sesiones, las reglas de reenvío, las direcciones de recuperación y las notificaciones de seguridad inesperadas de sus cuentas de correo electrónico laborales y personales. Las contraseñas utilizadas con la misma dirección de correo en distintos servicios deben sustituirse por contraseñas únicas, y debe activarse la autenticación multifactor siempre que sea posible. Aunque la contraseña no figure entre los campos verificados de este incidente, si la misma dirección de correo ha aparecido en filtraciones anteriores, podría utilizarse en intentos de tomar el control de cuentas.

Los documentos y mensajes que se basen en información sobre el cargo o el empleador, como documentos de revisión, aprobaciones de pagos, formularios de recursos humanos, invitaciones falsas a reuniones y mensajes de actualización del perfil, deben verificarse por un segundo canal. Debe reducirse la información pública de los perfiles sociales, como el correo electrónico, el teléfono, la fecha de cumpleaños, la trayectoria laboral y la lista de contactos; las solicitudes de conexión de personas desconocidas deben examinarse con cuidado. Quienes utilicen una cuenta de la organización deben informar al equipo de seguridad sobre los mensajes sospechosos y no abrir directamente archivos adicionales.

Dado que no es posible recuperar los datos persistentes de los perfiles profesionales una vez expuestos, la protección a largo plazo debe basarse en reducir su visibilidad y mantener las cuentas separadas. Los usuarios no deben utilizar el correo laboral para suscripciones personales, deben limitar la información de contacto innecesaria en sus perfiles sociales y cerrar las cuentas antiguas. Los gestores de contraseñas, las contraseñas únicas, la autenticación multifactor y las revisiones periódicas de la seguridad de las cuentas constituyen la defensa básica frente a la combinación de estos conjuntos de datos con otros ataques.

Las organizaciones deben revisar periódicamente cuánta información sobre las funciones de sus empleados está disponible en espacios de acceso público, mantener actualizada la formación para reconocer mensajes falsos de contratación y de proveedores, y utilizar un proceso de aprobación adicional para las tareas de alto riesgo. Al reforzar la seguridad del correo electrónico, los registros de verificación de dominios, los canales para denunciar phishing y los controles sobre cambios en los pagos a proveedores, se reduce considerablemente el impacto de los ataques que se apoyan en datos de perfiles profesionales.

Si usted encuentra una coincidencia, debe evaluar por separado qué campos de datos son visibles: la dirección de correo electrónico puede utilizarse para establecer contacto y realizar intentos con contraseñas; el empleador y el cargo, para enviar mensajes laborales falsos; y la ubicación y los enlaces a perfiles sociales, para vincular datos con su identidad. El orden de prioridades debe ser proteger la cuenta de correo electrónico, cambiar las contraseñas reutilizadas, reducir la visibilidad de los perfiles sociales y verificar los mensajes sospechosos relacionados con el trabajo.

El incidente «Sus datos han sido extraídos mediante scraping», aunque no es una filtración clásica de contraseñas, es una filtración de datos a gran escala que deja expuesta la identidad profesional. Cuando el nombre, la información laboral y el enlace al perfil social de una persona aparecen juntos, resulta más fácil para un atacante generar mensajes que parezcan fiables. Por ello, los usuarios afectados deben prestar atención no solo a la seguridad de las contraseñas, sino también a la comunicación laboral, la privacidad de sus perfiles, las señales de alerta de ingeniería social y los procedimientos de verificación corporativa.