Millones de cuentas de usuario, a la venta en la Dark Web

Un oscuro mercado web, comenzó a vender información robada, vinculada a aproximadamente 617 millones de cuentas de usuario de 16 sitios web diferentes.

Algunos de los servicios en línea, afectados consisten en la aplicación de mensajería de video Dubsmash, MyFitnessPal, EyeEm  y Fotolog.

Los datos comprometidos consisten, principalmente, en nombres de personas, direcciones de correo electrónico y contraseñas cifradas o encriptadas. Pero dependiendo del sitio web, otra información incluye otros datos, como nombres de usuario, direcciones IP, cumpleaños, ubicaciones, países, idioma, intereses, fechas de creación de cuentas y preguntas y respuestas de seguridad. Presumiblemente, los ciberdelincuentes que participan en campañas de spamming y rellenado de credenciales, podrían hacer uso de esta información.

“Las credenciales filtradas dejan a la gente vulnerable al secuestro de cuentas en todos los servicios donde reciclan sus nombres de usuario y contraseñas”, dijo Anurag Kahol, CTO y fundador de Bitglass. Desafortunadamente, esto incluye las cuentas corporativas que usan para propósitos de trabajo, lo que significa que sus empleadores también están en riesgo por sus hábitos de contraseñas descuidadas”, agregó.

Según se informa, el vendedor ha establecido el valor de todo el conjunto de datos en aproximadamente 20.000 dólares, pero está ofreciendo los datos de cada sitio web individualmente. Al menos un comprador adquirió el conjunto de datos de Dubsmash, que dice que robó los datos explotando la vulnerabilidad de las aplicaciones web.

“La mayor parte de estas credenciales se obtuvieron a partir de las violaciones de datos que se produjeron durante 2018, lo que significa que las empresas afectadas, como Dubsmash, pueden ser objeto de multas de hasta el cuatro por ciento del volumen de negocios mundial anual o de 20 millones de euros en virtud de GDPR por poner en peligro la información de los ciudadanos de la UE”, ha declarado Jonathan Bensen, CISO interino de Balbix. “Lo que es preocupante es que varios sitios violados no revelaron estos ataques, demostrando que las compañías no estaban al tanto o decidieron no revelar los incidentes”.

La mayor parte de estas credenciales se obtuvieron a partir de las violaciones de datos que se produjeron durante 2018, lo que significa que las empresas afectadas, como Dubsmash, pueden ser objeto de multas de hasta el cuatro por ciento del volumen de negocios mundial anual o de 20 millones de euros en virtud de GDPR por poner en peligro la información de los ciudadanos de la UE.