235 millones de cuentas de usuarios de Instagram, TikTok y YouTube han sido expuestas

El 1 de agosto, los investigadores de seguridad de Comparitech encontraron una base de datos que contenía toneladas de información personal y era accesible desde cualquier parte del mundo sin ningún tipo de autenticación. Dirigido por Bob Diachenko, el equipo analizó el contenido del servidor y determinó que tenía algo más de 238 millones de registros. De ellos, 192 millones pertenecían a usuarios de Instagram, alrededor de 42 millones habían sido extraídos de la popular plataforma para compartir videos TikTok, y poco menos de 4 millones contenían información relacionada con cuentas de YouTube.

Los registros no fueron uniformes en la información que expusieron. Solo alrededor de una quinta parte de ellos, por ejemplo, contenía un número de teléfono o una dirección de correo electrónico. No se expusieron contraseñas, aunque se dejó mucha otra información para tomar. Incluía nombres de perfil, nombres reales, fotos de perfil, edad y género de los usuarios, así como una amplia gama de estadísticas sobre su interacción con las redes sociales y otras personas. Habiendo aprendido qué tipo de datos quedaron expuestos, el siguiente trabajo de Diachenko fue averiguar cómo terminaron en las bases de datos con fugas.

Instagram, TikTok y YouTube no fueron pirateados

Los usuarios de las redes sociales entre ustedes se sentirán aliviados al saber que la filtración no fue el resultado de ciberataques coordinados contra Instagram, TikTok y YouTube. De hecho, los datos filtrados no fueron robados en el pleno sentido de la palabra. Los mismos propietarios de la cuenta lo habían puesto a disposición del público, y un script automatizado lo había eliminado y organizado.

Inicialmente, Diachenko estaba bastante seguro de que las bases de datos pertenecían a Deep Social, una empresa de análisis ahora desaparecida que solía trabajar en el campo del marketing de influencers. Hace un par de años, Deep Social se jactaba de tener una gran base de clientes y colaboraciones con grandes empresas. Sin embargo, en el verano de 2018, Facebook le dijo a Deep Social que ya no se le permitía usar la API de las redes sociales debido a una infracción de los términos de servicio. Poco después, la empresa de análisis se hundió.

Sin embargo, Diachenko logró contactar a una persona involucrada con Deep Social y reveló la filtración. Le dijeron que su correo electrónico había sido reenviado a otra empresa de marketing influyente con el nombre de Social Data. Social Data desactivó el servidor pocas horas después de su descubrimiento, y un portavoz se puso en contacto con Comparitech para disculparse por la filtración y señalar que Social Data no tiene nada en común con Deep Social. La presencia de "deepsocial" en los nombres de las bases de datos de Social Data y las similitudes entre las páginas Acerca de nosotros en los sitios web de las dos empresas permanecieron sin explicación.

¿Por qué fue mala la fuga?

Podría pensar que la fuga no es tan grave. Después de todo, como el portavoz de Social Data se mostró feliz de enfatizar, la información recopilada en la base de datos se puede ver en las páginas de perfil de las 238 millones de cuentas afectadas. Está disponible públicamente y, al menos en teoría, los propietarios lo saben muy bien. Todo lo que Social Data ha hecho es rasparlo y recopilarlo en una base de datos bien organizada. Esto, fíjate, es más o menos lo mismo que estaba haciendo Deep Social hasta que Facebook le dio una palmada en la muñeca.

La extracción de datos de acceso público va en contra de los términos de uso de la mayoría de las redes sociales, y hay una muy buena razón para ello. Empresas como Social Data y Deep Social recopilan toda esta información y luego se benefician de ella vendiéndola a clientes que organizan campañas publicitarias específicas. Ya es discutible si todo este asunto está en línea con leyes y regulaciones como el GDPR de la UE, por ejemplo, y también hay otros problemas.

Los ciberdelincuentes que desean lanzar campañas de phishing dirigidas contra los usuarios de las redes sociales pueden beneficiarse enormemente de una base de datos bien organizada que se proporciona con los datos de los usuarios. El raspado de datos es el proceso que crea estos enormes conjuntos de datos, y es por eso que los gigantes de las redes sociales como Facebook no lo toleran. Lo que es aún peor, como demostró Social Data, a veces, estas bases de datos no se almacenan de forma segura, y esto hace que la vida de los delincuentes sea mucho más fácil.

Desafortunadamente, este incidente es una muy buena ilustración del poco control que tienen los usuarios sobre lo que sucede con sus datos una vez que están en su perfil de redes sociales. Por eso, probablemente debería tener más cuidado con los datos personales que comparte en estas plataformas. Si usa Instagram, TikTok o YouTube, también debe tener en cuenta que aún no está claro si alguien accedió a los datos filtrados antes de que fueran eliminados. Es posible que desee estar atento a cualquier correo electrónico o mensaje sospechoso.