Filtración de datos de NewsPicks (nombres de titulares de tarjetas y últimos dígitos, hasta 362.000 registros): qué se filtró a través de una herramienta de administración interna y qué deben hacer los usuarios

Entre los datos que podrían haberse filtrado están los nombres de los titulares de tarjetas y los últimos 3 o 4 dígitos de los números de tarjeta. Los mensajes auténticos de emisores de tarjetas y servicios suelen mostrar los últimos 4 dígitos para que usted reconozca su tarjeta. Por eso, un mensaje falso con los últimos dígitos correctos es difícil de distinguir de uno real.

Si recibe algo como «confirme la tarjeta terminada en XXXX» o «hay un problema con su pago», no abra el enlace. Consulte los asuntos de tarjetas con su emisor usando el número que figura al dorso de la tarjeta, y los asuntos de NewsPicks en la aplicación oficial (cómo detectar falsificaciones: ¿Qué es el phishing?).

La empresa dice que desde el 9 de octubre comenzó a enviar correos a los usuarios afectados, por turnos, desde la dirección de soporte de NewsPicks (no-reply@newspicks.com). Sin embargo, el remitente que aparece en un correo puede falsificarse. Son posibles correos falsos que imiten el aviso, así que la forma fiable de comprobarlo es consultar los avisos en un sitio oficial que usted mismo abra.

La empresa afirma que nunca pedirá contraseñas ni números de tarjeta de crédito por correo electrónico, mensaje de texto, teléfono o correo postal. Si se los piden, puede considerar falso el mensaje en ese momento.

Según la empresa, los números completos de tarjeta los gestiona el procesador de pagos y no se almacenan en sus sistemas, y no almacena los códigos de seguridad. Por tanto, es poco probable que los datos filtrados basten por sí solos para usar la tarjeta.

Aun así, si un mensaje falso le lleva a escribir su número completo de tarjeta, eso puede derivar en fraude. Si su extracto muestra un cargo que no reconoce, contacte con su emisor aunque sea de poco importe. Decida con su emisor si conviene reemitir la tarjeta.

Entre los datos que podrían haberse filtrado figuran también la afiliación (como el empleador), el número de teléfono de la organización afiliada y una categoría de nivel de puesto. Además de su correo personal, son posibles llamadas o correos a su lugar de trabajo que digan ser de NewsPicks o de un socio comercial.

Si le piden confirmar una factura inesperada o «los datos del contrato», no responda en el momento; llame de vuelta a un número oficial que busque usted mismo. El personal que gestione NewsPicks Enterprise o NewsPicks Education para su organización debería compartir esta advertencia con los usuarios de allí.

La empresa afirma que no se ha confirmado ninguna filtración de contraseñas y que no ha pedido a los usuarios que las cambien. Si le preocupa, o si usa la misma contraseña en otros servicios, puede cambiarla en la aplicación oficial, en la configuración de la cuenta de «Ajustes y privacidad», y no mediante un enlace de un correo (pasos en la página de ayuda de la empresa Cambiar su contraseña, en japonés).

Un gestor de contraseñas es la forma práctica de dejar de reutilizarlas. Para comprobar si su contraseña aparece en otras filtraciones, consulte cómo comprobar si su contraseña se filtró.

Los puntos de contacto del aviso de la empresa son una dirección de correo (info@newspicks.com) y el formulario de consulta del centro de ayuda de NewsPicks. Nunca necesita enviar su número de tarjeta o su contraseña para contactarlos.

Las herramientas de administración y análisis usadas solo por el personal suelen tratarse con menos rigor que el servicio principal, y puede que nadie sea responsable de sus actualizaciones. Empiece por listar las herramientas de administración que usa y anotar, para cada una, quién la actualiza y dónde llegan los avisos de vulnerabilidades (lista de control de inventario de seguridad, guía de remediación de CVE).

Solo el personal debería usar una herramienta de administración. Use la red interna, una VPN o restricciones por dirección de origen para que la página de inicio de sesión no sea accesible desde el exterior. Después, canalice los inicios de sesión mediante un inicio de sesión único corporativo (SSO: una cuenta que le permite entrar en varias herramientas) y autenticación multifactor.

Algunas vulnerabilidades están en procesos que ocurren antes del inicio de sesión, donde las contraseñas y la MFA no ayudan. Mantener la herramienta inaccesible desde el exterior es la medida que sigue funcionando en ese caso (defensa frente a vulnerabilidades de dispositivos VPN).

En general, lo que puede filtrarse de una herramienta de administración depende del acceso a datos que se le haya concedido. La empresa también afirma que redujo los permisos de acceso a datos de la herramienta al mínimo necesario para el trabajo.

En su propio entorno, anote qué datos puede leer el usuario de conexión o la clave de acceso de cada herramienta de administración, y bloquee los campos que el trabajo no necesita (nombres de titulares de tarjetas, últimos dígitos, fechas de nacimiento, etc.). El uso de vistas que exponen solo una parte de una tabla se explica en el artículo sobre las filtraciones por explotación de Metabase; la idea de quién puede hacer qué se trata en autenticación frente a autorización.

La empresa reemitió las claves de acceso a los datos a los que la herramienta de administración podía llegar. Cuando una herramienta de administración se ve comprometida, hay que dar por filtradas las claves que tenía y sustituirlas. Mantenga una lista de qué claves se entregan a qué herramientas, y defina de antemano el procedimiento de reemisión y quién lo ejecuta, para que la respuesta el día del incidente sea rápida.