¿Caducan los datos robados en una brecha de datos?

Parte de la información personal simplemente no envejece, eso es lo que la violación de datos de Facebook puede significar para usted.

En los últimos días se ha sabido que en foros se han filtrado datos de más de 500 millones de usuarios de Facebook. Cualquier violación de datos, especialmente aquella que afecte a un gran número de usuarios, es desagradable tanto para la empresa como para los usuarios afectados. Sin embargo, en este caso, parece ser una noticia vieja con un nuevo giro.

La cronología de esta filtración de datos, según Facebook, comienza en 2018, cuando se supo que personas malintencionadas estaban abusando de una función de Facebook que permitía a un usuario buscar otra en función de su número de teléfono para ubicarlo en la red social. Esta función fue especialmente útil en territorios donde muchos usuarios comparten el mismo nombre y apellido, lo que dificulta la localización de la persona real que buscaba. Desafortunadamente, esto permitió a los actores malintencionados abusar del recurso y “robar” Facebook mediante la automatización y el uso de scripts para compilar una base de datos que, como mínimo, incluía el nombre y el número de teléfono de la víctima.

Facebook eliminó la función en abril de 2018, poco después del escándalo de Cambridge Analytica, cuando identificó actividad maliciosa de “raspado”. Más tarde en 2019, TechCrunch informó que un investigador de seguridad encontró registros de 400 millones de cuentas de Facebook en una base de datos desprotegida en la web. En ese momento, Facebook confirmó que los datos estaban fechados y parecían haber sido recopilados antes de la eliminación de la función de búsqueda en 2018. Los datos no protegidos se eliminaron del acceso público.

En los últimos días, varios medios de comunicación han informado que los investigadores de seguridad han identificado una vez más una base de datos de acceso público que aparentemente contiene los mismos datos que se extrajeron de Facebook y se informaron en 2019.

Según lo publicado por TechCrunch a partir de declaraciones de la Comisión de Protección de Datos de Irlanda (DPC), es posible que se hayan agregado otros datos al conjunto de datos original desde que se restó en 2018. Por otro lado, DPC intenta establecer todos los hechos para determinar si la infracción se produjo antes de la entrada en vigor del Reglamento General de Protección de Datos (RGPD).

Si en el momento de “scraping” los perfiles de Facebook eran públicos, es posible que el agente malintencionado haya recopilado cada vez más información personal, que podría utilizar para crear un perfil de la víctima. Los datos que contienen información de identificación personal se pueden usar contra la víctima en casos de robo de identidad, ataques de phishing dirigidos, ingeniería social, piratería de cuentas y otras estafas que pueden causar un daño significativo.

¿El valor de los datos disminuye con el tiempo? La respuesta es sí y no, simultáneamente. Hoy tengo el mismo número de teléfono que tenía en 2018, la información que es estática, como la fecha de nacimiento, sigue siendo la misma, e incluso un horario de actividades no cambiará, pero simplemente se habría detenido en el punto donde los datos fue recogido. En el caso de las contraseñas, que no formaban parte de los datos expuestos en el caso de Facebook, probablemente cambiaron en los últimos tres años.

El servicio web de seguimiento de violaciones de datos, Have I Been Pwned (HIBP), señala que solo 2,5 millones de los registros encontrados en datos de acceso público no protegidos incluían una dirección de correo electrónico; sin embargo, la mayoría de los registros contenían los nombres, el sexo, la fecha de nacimiento, la ubicación, el estado civil y los detalles del empleador. En cuanto al valor de estos datos y la relevancia de la filtración, consideraría que la publicación de estos datos personales – incluso sin dirección de correo electrónico – representa un compromiso de mi identidad y que es algo que me preocupa.

Cómo comprobar si se ha visto afectado

En cuanto a las cuentas de usuario que contenían una dirección de correo electrónico, los agentes malintencionados podrían intentar acceder a Facebook y otros sitios web y servicios utilizando la dirección de correo electrónico y técnicas de fuerza bruta con contraseñas de uso común. Si la víctima usa solo contraseñas simples, reutiliza las mismas contraseñas en varios lugares y nunca las cambia, entonces debe actuar hoy: cambie las contraseñas, defina una sola para cada cuenta y manténgalas complejas. Además, habilite la autenticación de doble factor. Puede comprobar si era uno de los 2,5 millones en el sitio web de HIBP.

Sin embargo, quizás lo más importante, el sitio ahora también permite que cualquier persona verifique que su número de teléfono haya sido expuesto.

¿Por qué es esto importante además de la gran cantidad de números de teléfono filtrados? Si ya recibió un mensaje de texto SMS para restablecer una contraseña de Netflix o si había una tarjeta de regalo esperándolo, debe tener en cuenta que es probable que los agentes malintencionados usen los datos que tienen, nombre y número de teléfono, para realizar algunos Acción a través de la ingeniería social que permite engañar a la víctima y recibir una respuesta que le da acceso o datos que luego pueden monetizar. Es probable que los delincuentes también hayan combinado estos datos con otros datos de otras infracciones, que pueden incluir su dirección de correo electrónico u otros datos personales, proporcionando al agente malintencionado información suficiente para lanzar ataques personalizados de ingeniería social contra personas, con una apariencia muy confiable.

Estar atento y tener una actitud de duda en cada mensaje y correo electrónico que reciba le ayudará a proteger sus cuentas de Internet. Combine esto con contraseñas sólidas y únicas, autenticación de dos factores y un buen software de seguridad, como ESET, que lo ayudará a protegerse. Y, si no puede recordar las contraseñas o crear contraseñas complejas únicas, considere usar un administrador de contraseñas.

Deja un comentario