Eset, compañía especializada en detección proactiva de amenazas, alertó que la herramienta en línea Canva, usada para el diseño visual de imágenes y piezas gráficas, descubrió la presencia de un atacante dentro de sus sistemas y el robo de datos privados de 139 millones de usuarios del servicio.
Según me informó la compañía en un comunicado, los datos del robo fueron provistos por el mismo atacante, apodado GnosticPlayers, al diario digital ZDNet.
Los actores maliciosos declararon la descarga de información hasta el 17 de mayo, cuando fueron descubiertos y fue cerrado el servidor de la base de datos.
Entre los datos filtrados figuran nombres de usuarios, nombres reales, direcciones de correo, además de información sobre país y ciudad.
También se filtraron contraseñas hasheadas de cerca de 61 millones de usuarios.
Entre los datos filtrados se incluyen tokens de Google que fueron utilizados por usuarios para registrarse en Canva sin utilizar una contraseña.
Se estima que aproximadamente 78 millones de los usuarios que se vieron afectados por la filtración utilizaban una cuenta de Gmail asociada a la cuenta de Canva.
«No es la primera vez que estos actores maliciosos son los responsables de una brecha de seguridad. Desde febrero hasta la fecha, GnosticPlayers llegó a robar más de mil millones de credenciales de un total de 45 compañías en distintas brechas, información que ofrece a la venta en la ‘dark web’ (web oscura). Es por esto que tanto las compañías que alojan los datos de sus clientes, como los usuarios finales, deben implementar las medidas de seguridad necesarias para proteger la información y cuidar sus datos personales”, dijo Camilo Gutierrez, jefe del laboratorio de Eset Latinoamérica.
Canva comunicó en su sitio que las contraseñas, al estar «hasheadas», mantienen su condición de ilegibles por terceras partes.
Desde Eset sostienen que este nivel de seguridad depende de la complejidad con que fuera construida la contraseña, con lo cual contraseñas cortas, que usen palabras de diccionario o tenga baja complejidad podrían ser descubiertas con facilidad.
Por esta razón la recomendación es que los usuarios modifiquen sus contraseñas como precaución. Lo mismo en cada cuenta o servicio en el cual se utilice la misma combinación de usuario/contraseña.
Desde Canva aseguraron que no hay indicios de que alguien haya logrado acceder a una cuenta, y dijeron que los datos relacionados a pagos son confidenciales y las transacciones se realizan mediante conexiones cifradas.
