Ashley Madison: la brecha expuso 36 millones de cuentas de usuarios

Unos hackers publicaron en 2015 datos de unos 36 millones de cuentas de Ashley Madison. Los reguladores de Canadá y Australia concluyeron que la seguridad era inadecuada, y el operador pagó 1,6 millones de dólares en un acuerdo en EE. UU.

Qué pasó

En julio de 2015, un grupo que se hacía llamar "The Impact Team" anunció que había hackeado Avid Life Media, la empresa detrás de Ashley Madison. En agosto de 2015 publicó datos de unos 36 millones de cuentas de usuarios, incluidos detalles de perfil, direcciones de correo electrónico y parte de la información de facturación. Una investigación conjunta de los reguladores de privacidad de Canadá y Australia concluyó que la empresa carecía de políticas de seguridad documentadas, de un proceso de gestión de riesgos y de formación adecuada para el personal. También usaba acceso remoto de un solo factor y guardaba contraseñas y claves en texto plano. Los reguladores también criticaron que conservara los datos indefinidamente y cobrara a los usuarios por eliminarlos. En diciembre de 2016, los operadores llegaron a un acuerdo con la Comisión Federal de Comercio de EE. UU. (FTC) y con los estados. Aceptaron un programa de seguridad y pagaron 1,6 millones de dólares.

Qué está documentado

• Oficina del Comisionado de Privacidad de Canadá y Comisionado de Información de Australia: salvaguardas inadecuadas; infracciones de la ley de privacidad canadiense y australiana; se aceptaron un acuerdo de cumplimiento y un compromiso exigible (agosto de 2016).
• El mismo informe: los usuarios afectados recibieron correos de extorsión tras la filtración.
• FTC: los operadores llegaron a un acuerdo por cargos de prácticas de seguridad engañosas e injustas, incluido conservar datos de usuarios que habían pagado 19 $ por un "Full Delete" (borrado completo); se pagaron 1,6 millones de dólares en total (diciembre de 2016).

Qué no se ha establecido

• Quién estuvo detrás del ataque.
• El alcance total de lo que los atacantes consiguieron, porque se borraron los registros.

Qué significa para ti

1. Regístrate en servicios sensibles con una dirección de correo independiente que no revele tu nombre.
2. Comprueba cómo elimina un servicio tus datos antes de registrarte, y si la eliminación cuesta dinero.
3. Si recibes un correo de chantaje tras una filtración, no pagues; denúncialo a la policía.