Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
Filtración de datos de Pinterest
Filtración de datos de Pinterest
Pinterest enfrentó un 2024 turbulento, con dos incidentes de seguridad muy distintos. Primero, una filtración en un proveedor externo expuso datos sensibles de empleados. Luego, un hacker afirmó haber filtrado una base de datos con 6 millones de registros de usuarios. Aunque Pinterest negó que sus sistemas hayan sido comprometidos, estos eventos muestran una amenaza doble: vulnerabilidades en la cadena de suministro y amenazas directas a las cuentas de los usuarios.
Filtración de datos de Pinterest explicada: ¿qué pasó?
En julio de 2024, un hacker llamado "Tchao1337" afirmó haber filtrado una base de datos con 6 millones de filas de datos de usuarios de Pinterest en un foro de hacking. La supuesta filtración incluía correos electrónicos, nombres de usuario y direcciones IP. Esto ocurrió apenas meses después de un incidente distinto en mayo de 2024, cuando una filtración en un proveedor externo, Infosys, expuso los datos personales de casi 600 empleados de Pinterest.
¿Cuándo ocurrió la filtración de datos de Pinterest?
La cronología incluye dos períodos clave en 2024:
Mayo de 2024: Se reveló un ataque a la cadena de suministro a través de un proveedor externo, que afectó datos de empleados.
Julio de 2024: Un hacker afirmó haber vulnerado y filtrado 6 millones de registros de usuarios en un foro público.
¿Quién hackeó Pinterest?
Por la filtración de datos de usuarios, un hacker con el alias "Tchao1337" se atribuyó la responsabilidad al publicar la base de datos en Breachedforums. Se desconoce al actor de amenazas detrás del ataque anterior a la cadena de suministro del proveedor de Pinterest, Infosys.
¿Cómo ocurrió la filtración de Pinterest?
Los dos incidentes tuvieron vectores de ataque distintos. La exposición de datos de empleados fue un ataque clásico a la cadena de suministro, donde los atacantes comprometieron a un proveedor externo para acceder a los datos.
La supuesta filtración de datos de usuarios probablemente se originó por credential stuffing o ataques de password spraying. Estos métodos consisten en que los atacantes usan combinaciones de nombre de usuario y contraseña filtradas de otras brechas de datos para obtener acceso no autorizado a cuentas de Pinterest, en lugar de hackear directamente los sistemas de Pinterest.
Cronología de la filtración de datos de Pinterest
Mayo de 2024: Infosys, un proveedor de Pinterest, les notifica un incidente de seguridad que expuso información personal identificable de empleados.
30 de mayo de 2024: Pinterest reporta oficialmente la filtración de datos relacionada con el proveedor ante el Fiscal General de California.
15 de julio de 2024: El hacker "Tchao1337" publica una base de datos que supuestamente contiene 6 millones de registros de usuarios de Pinterest en un foro de filtración de datos.
Finales de julio de 2024: En respuesta a las afirmaciones, un vocero de Pinterest declara que su investigación no encontró "evidencia de un compromiso de nuestro sistema o de los datos de los usuarios".
Detalles técnicos
Según la afirmación del hacker, la base de datos de usuarios filtrada se comprimió en un archivo de 1,59 GB. Los datos expuestos supuestamente incluían direcciones de correo electrónico, nombres de usuario, ID de usuario y direcciones IP. Este tipo de información es una mina de oro para los atacantes que buscan lanzar campañas masivas de phishing y otros ataques de ingeniería social.
Indicadores de compromiso (IoC)
Ni Pinterest ni investigadores de seguridad han publicado indicadores de compromiso (IoC) específicos, como direcciones IP o hashes de archivos, en relación con ninguno de los dos incidentes. El principal indicador fue la aparición de los datos en un foro de filtraciones conocido.
Investigación forense y del incidente
Pinterest declaró que investigó las afirmaciones del hacker y no encontró evidencia de que sus propios sistemas hayan sido vulnerados. Esto sugiere que su investigación interna concluyó que los datos probablemente se recopilaron de otras fuentes o se obtuvieron mediante apropiaciones de cuenta, y no mediante un hackeo directo. La filtración anterior del proveedor fue investigada tanto por Infosys como por Pinterest para determinar el alcance y el impacto en los empleados.
¿Qué datos se vieron comprometidos en la filtración de Pinterest?
Los dos incidentes expusieron distintos tipos de datos:
Supuesta filtración de datos de usuarios (julio de 2024):
Direcciones de correo electrónico
Nombres de usuario
ID de usuario
Direcciones IP
Filtración de datos del proveedor (mayo de 2024):
Nombres completos de empleados
Fechas de nacimiento
Números de Seguro Social (SSN)
¿A cuántas personas afectó la filtración de datos de Pinterest?
Se confirmó que la filtración del proveedor afectó a 597 empleados. La posterior afirmación del hacker alegó un impacto mucho mayor, con 6 millones de registros de usuarios filtrados. Aunque Pinterest cuestiona que haya habido una brecha en sus sistemas, los usuarios cuyos datos aparecieron en la filtración siguen en riesgo.
¿Mis datos quedaron expuestos en la filtración de Pinterest?
Para la filtración de empleados, solo las 597 personas afectadas estaban en riesgo. En cuanto a la presunta filtración de datos de usuarios, tu información podría estar incluida si reutilizas contraseñas en diferentes servicios. Los atacantes podrían usar tus credenciales de otra filtración para acceder a tu cuenta de Pinterest. Se recomienda a los usuarios cambiar sus contraseñas, habilitar la autenticación de dos factores (2FA) y estar muy alertas ante correos de phishing dirigidos.
Impactos clave de la filtración de Pinterest
Estos incidentes consecutivos generan desafíos importantes:
Erosión de la confianza del usuario: Aunque Pinterest niega una filtración directa, la disponibilidad de datos de usuarios en un foro de hackers daña la confianza en la seguridad de la plataforma.
Mayor riesgo de phishing: Con millones de direcciones de correo electrónico y nombres de usuario filtrados, los usuarios enfrentan un riesgo mayor de ataques de phishing dirigidos e intentos de credential stuffing en otras plataformas.
Daño reputacional: Gestionar dos eventos de exposición de datos independientes en un periodo corto genera una percepción negativa y plantea dudas sobre la postura de seguridad general de la empresa y la gestión de proveedores.
Respuesta a la filtración de datos de Pinterest
Las respuestas de Pinterest se adaptaron a cada incidente. Para la filtración del proveedor, fueron transparentes, presentaron las divulgaciones requeridas y ofrecieron monitoreo de crédito a los empleados afectados. Bien hecho.
En cuanto a la presunta filtración de datos de usuarios, su respuesta fue una negación firme. Un portavoz declaró: "Hemos investigado esta afirmación. Nuestra investigación no ha encontrado evidencia de un compromiso de nuestro sistema o de los datos de los usuarios". Esto traslada la responsabilidad a los usuarios para proteger sus cuentas individuales.
Lecciones de la filtración de datos de Pinterest
La seguridad de la cuenta es tu responsabilidad: La negación de Pinterest de una filtración del sistema es un recordatorio contundente de que los usuarios deben practicar una buena higiene de contraseñas y habilitar 2FA para protegerse del credential stuffing.
La cadena de suministro es una debilidad importante: La filtración de datos de empleados refuerza la necesidad crítica de una gestión rigurosa del riesgo de terceros. Si tus proveedores no son seguros, tú tampoco lo eres.
Una negación no es una solución: Aunque una empresa quizás no haya sido "hackeada" en el sentido tradicional, los datos de usuarios filtrados siguen siendo un problema enorme. La comunicación y la orientación a los usuarios son clave, incluso cuando la falla no es totalmente interna.
¿Es seguro Pinterest después de la filtración?
Según Pinterest, sus sistemas principales nunca se vieron comprometidos. En ese sentido, la plataforma en sí es tan segura como antes. Sin embargo, el riesgo para los usuarios ha aumentado. Los datos filtrados se pueden usar para intentos de toma de control de una cuenta, por lo que es crucial que los usuarios protejan sus cuentas de forma proactiva.
Estrategias de mitigación y prevención
Protege a tu empresa y a tus usuarios de amenazas similares. Es hora de tomárselo en serio.
Exige la autenticación multifactor (MFA): Este es el paso más eficaz para prevenir la toma de control de una cuenta mediante credential stuffing. Aplícalo para tus empleados y promuévelo firmemente entre tus usuarios.
Implementa un programa sólido de riesgo de proveedores: No confíes simplemente en tus proveedores; verifica su seguridad. Realiza evaluaciones e incluye requisitos de seguridad estrictos en tus contratos.
Educación de usuarios y empleados: Capacita a todos para detectar intentos de phishing. Los datos filtrados en este incidente alimentarán campañas de phishing durante meses. Mantente alerta.
Monitorea las credenciales filtradas: Usa servicios que escaneen la dark web en busca de las credenciales de tu empresa y tus usuarios para adelantarte a los intentos de toma de control de una cuenta.
Incidentes de brechas de datos relacionados
Filtración de datos de MOVEit
Filtración de datos de Okta
Filtración de datos de MGM
Preguntas frecuentes sobre la filtración de datos de Pinterest
Hubo dos incidentes independientes. Uno fue un ataque a la cadena de suministro en el que se vulneró a un proveedor externo, exponiendo datos de empleados. El otro fue una presunta filtración de 6 millones de registros de usuarios, probablemente obtenidos mediante ataques de credential stuffing, y no un hackeo directo de los sistemas de Pinterest.
Hubo dos incidentes independientes. Uno fue un ataque a la cadena de suministro en el que se vulneró a un proveedor externo, exponiendo datos de empleados. El otro fue una presunta filtración de 6 millones de registros de usuarios, probablemente obtenidos mediante ataques de credential stuffing, y no un hackeo directo de los sistemas de Pinterest.
La filtración del proveedor expuso información personal de empleados, incluidos números de seguro social. La presunta filtración de datos de usuarios contenía direcciones de correo electrónico, nombres de usuario, ID de usuario y direcciones IP. Pinterest ha negado que sus sistemas se hayan visto comprometidos en el incidente de datos de usuarios.
Un hacker conocido como "Tchao1337" se atribuyó la responsabilidad de filtrar los 6 millones de registros de usuarios. La identidad del atacante detrás de la filtración del proveedor externo que afectó a los empleados de Pinterest sigue siendo desconocida.
Las empresas deben exigir MFA para prevenir la toma de control de cuentas e implementar un sólido programa de gestión de riesgo de terceros para evaluar proveedores. El security awareness training continuo también es crucial para ayudar a empleados y usuarios a reconocer y evitar intentos de phishing.
