Diferencia entre revisiones de «Filtración de Condé Nast»

De CiberWiki
VisualWikitexto
Sin resumen de edición
Sin resumen de edición
 
(No se muestra una edición intermedia del mismo usuario)
Línea 1: Línea 1:
[[Categoría:Campañas]]
= Condé Nast: Filtración y Venta de 32,8 Millones de Registros de Usuarios (2025-2026) =
= Condé Nast: Filtración y Venta de 32,8 Millones de Registros de Usuarios (2025-2026) =


Línea 12: Línea 11:
== Fecha de Detección / Actividad ==
== Fecha de Detección / Actividad ==


| Fecha | Evento |
{| class="wikitable"
|-------|--------|
! Fecha !! Evento
| Septiembre - 23 octubre 2025 | Extracción de datos (según evidencia de la muestra) |
|-
| 8-9 septiembre 2025 | Último registro en el archivo de WIRED (fecha de corte) |
| Septiembre - 23 octubre 2025 || Extracción de datos (según evidencia de la muestra)
| 22 noviembre 2025 | "Lovely" contacta a DataBreaches.net haciéndose pasar por investigador |
|-
| 20 diciembre 2025 | Filtración pública del subconjunto de WIRED (2.366.576 registros) |
| 8-9 septiembre 2025 || Último registro en el archivo de WIRED (fecha de corte)
| 7 septiembre 2026 | Puesta a la venta de la base de datos completa (32.815.767 registros) en foro ruso |
|-
| 7 septiembre 2026 | Análisis de Ransomnews verifica autenticidad de la muestra |
| 22 noviembre 2025 || "Lovely" contacta a DataBreaches.net haciéndose pasar por investigador
| 7 septiembre 2026 | Artículo de Pierluigi Paganini (Security Affairs) |
|-
| 7 septiembre 2026 | Artículo de Ransomnews Research Team |
| 20 diciembre 2025 || Filtración pública del subconjunto de WIRED (2.366.576 registros)
| 7 septiembre 2026 | Artículo de BleepingComputer (referencia al informe de WIRED) |
|-
| 8 septiembre 2026 | Artículo de Sergiu Gatlan (BleepingComputer) sobre F5 (contexto) |
| 7 septiembre 2026 || Puesta a la venta de la base de datos completa (32.815.767 registros) en foro ruso
|-
| 7 septiembre 2026 || Análisis de Ransomnews verifica autenticidad de la muestra
|-
| 7 septiembre 2026 || Artículo de Pierluigi Paganini (Security Affairs)
|-
| 7 septiembre 2026 || Artículo de Ransomnews Research Team
|-
| 7 septiembre 2026 || Artículo de BleepingComputer (referencia al informe de WIRED)
|-
| 8 septiembre 2026 || Artículo de Sergiu Gatlan (BleepingComputer) sobre F5 (contexto)
|}


**Estado**: Activo. La base de datos completa está a la venta. Condé Nast no ha confirmado públicamente la brecha.
'''Estado''': Activo. La base de datos completa está a la venta. Condé Nast no ha confirmado públicamente la brecha.


== Actor de Amenaza (Atribución) ==
== Actor de Amenaza (Atribución) ==


| Categoría | Descripción |
{| class="wikitable"
|-----------|-------------|
! Categoría !! Descripción
| **Nombre del Actor** | "Lovely" (presunto, según el vendedor) |
|-
| **Vínculo Gubernamental** | No establecido |
| '''Nombre del Actor''' || "Lovely" (presunto, según el vendedor)
| **Tipo de Actor** | Ciberdelincuencia / Venta de datos / Posible ransomware |
|-
| **Sofisticación** | MEDIA-ALTA. Utilizan: |
| '''Vínculo Gubernamental''' || No establecido
| | • Explotación de vulnerabilidades IDOR y broken access control |
|-
| | • Enumeración de IDs secuenciales para extraer datos masivamente |
| '''Tipo de Actor''' || Ciberdelincuencia / Venta de datos / Posible ransomware
| | • Capacidad de retener datos durante meses antes de venderlos |
|-
| | • Uso de foros de ciberdelincuencia en ruso con depósito en garantía |
| '''Sofisticación''' || MEDIA-ALTA. Utilizan:
| **Motivación** | Financiera (venta de datos a compradores de phishing, fraude, etc.) |
* Explotación de vulnerabilidades IDOR y broken access control
| **Objetivo** | 32,8 millones de registros de usuarios de Condé Nast |
* Enumeración de IDs secuenciales para extraer datos masivamente
| **Precio de venta** | $15.000 USD (menos de $0,0005 por registro) |
* Capacidad de retener datos durante meses antes de venderlos
* Uso de foros de ciberdelincuencia en ruso con depósito en garantía
|-
| '''Motivación''' || Financiera (venta de datos a compradores de phishing, fraude, etc.)
|-
| '''Objetivo''' || 32,8 millones de registros de usuarios de Condé Nast
|-
| '''Precio de venta''' || $15.000 USD (menos de $0,0005 por registro)
|}


== Resumen Ejecutivo ==
== Resumen Ejecutivo ==
Línea 51: Línea 69:
=== Hechos confirmados ===
=== Hechos confirmados ===


| Hecho | Estado |
{| class="wikitable"
|-------|--------|
! Hecho !! Estado
| Datos de 32,8 millones de usuarios a la venta | ✅ Confirmado (análisis de muestra) |
|-
| Muestra de 5.000 filas verificada como auténtica | ✅ Confirmado (Ransomnews) |
| Datos de 32,8 millones de usuarios a la venta || ✅ Confirmado (análisis de muestra)
| Subconjunto de WIRED (2,3M registros) filtrado en diciembre 2025 | ✅ Confirmado (BleepingComputer) |
|-
| Vendedor afirma ser "Lovely" | ⚠️ No verificado independientemente |
| Muestra de 5.000 filas verificada como auténtica || ✅ Confirmado (Ransomnews)
| Condé Nast ha confirmado la brecha | ❌ No (silencio corporativo) |
|-
| Contraseñas o datos de pago expuestos | ❌ No (según el esquema de la muestra) |
| Subconjunto de WIRED (2,3M registros) filtrado en diciembre 2025 || ✅ Confirmado (BleepingComputer)
| Sistema de cuentas de Condé Nast comprometido | ✅ Probable (según evidencia de fechas) |
|-
| Vendedor afirma ser "Lovely" || ⚠️ No verificado independientemente
|-
| Condé Nast ha confirmado la brecha || ❌ No (silencio corporativo)
|-
| Contraseñas o datos de pago expuestos || ❌ No (según el esquema de la muestra)
|-
| Sistema de cuentas de Condé Nast comprometido || ✅ Probable (según evidencia de fechas)
|}


=== Línea de tiempo del incidente (UTC) ===
=== Línea de tiempo del incidente (UTC) ===


| Fecha y hora | Evento |
{| class="wikitable"
|--------------|--------|
! Fecha y hora !! Evento
| Septiembre 2025 | Comienza la extracción de datos (cuentas nuevas aparecen parcialmente) |
|-
| 8-9 septiembre 2025 | Último registro en el archivo de WIRED (fecha de corte) |
| Septiembre 2025 || Comienza la extracción de datos (cuentas nuevas aparecen parcialmente)
| 23 octubre 2025 | Último registro en la muestra (fin de la extracción) |
|-
| 22 noviembre 2025 | "Lovely" contacta a DataBreaches.net como "Dissent Doe" |
| 8-9 septiembre 2025 || Último registro en el archivo de WIRED (fecha de corte)
| 20 diciembre 2025 | Filtración pública del archivo de WIRED (2.366.576 registros) |
|-
| 7 septiembre 2026 | Base de datos completa a la venta en foro ruso ($15.000) |
| 23 octubre 2025 || Último registro en la muestra (fin de la extracción)
| 7 septiembre 2026 | Ransomnews publica análisis de verificación |
|-
| 7 septiembre 2026 | Security Affairs publica artículo de Pierluigi Paganini |
| 22 noviembre 2025 || "Lovely" contacta a DataBreaches.net como "Dissent Doe"
|-
| 20 diciembre 2025 || Filtración pública del archivo de WIRED (2.366.576 registros)
|-
| 7 septiembre 2026 || Base de datos completa a la venta en foro ruso ($15.000)
|-
| 7 septiembre 2026 || Ransomnews publica análisis de verificación
|-
| 7 septiembre 2026 || Security Affairs publica artículo de Pierluigi Paganini
|}


=== Declaración oficial de Condé Nast ===
=== Declaración oficial de Condé Nast ===
Línea 82: Línea 117:
=== Mecanismo técnico del ataque ===
=== Mecanismo técnico del ataque ===


| Fase | Descripción |
{| class="wikitable"
|------|-------------|
! Fase !! Descripción
| 1. Reconocimiento | Identificación de endpoints de API de Condé Nast con IDs secuenciales predecibles |
|-
| 2. Explotación IDOR | Iteración a través de IDs de cuenta para acceder a perfiles de otros usuarios |
| 1. Reconocimiento || Identificación de endpoints de API de Condé Nast con IDs secuenciales predecibles
| 3. Extracción masiva | Descarga automatizada de registros de usuarios a gran escala |
|-
| 4. Almacenamiento | Retención de los datos durante meses (septiembre-octubre 2025) |
| 2. Explotación IDOR || Iteración a través de IDs de cuenta para acceder a perfiles de otros usuarios
| 5. Filtración selectiva | Publicación de un subconjunto (WIRED) para demostrar autenticidad |
|-
| 6. Venta privada | Venta de la base de datos completa en foro de ciberdelincuencia |
| 3. Extracción masiva || Descarga automatizada de registros de usuarios a gran escala
|-
| 4. Almacenamiento || Retención de los datos durante meses (septiembre-octubre 2025)
|-
| 5. Filtración selectiva || Publicación de un subconjunto (WIRED) para demostrar autenticidad
|-
| 6. Venta privada || Venta de la base de datos completa en foro de ciberdelincuencia
|}


=== Por qué fue posible ===
=== Por qué fue posible ===


| Factor | Explicación |
{| class="wikitable"
|--------|-------------|
! Factor !! Explicación
| IDs secuenciales predecibles | Los identificadores de cuenta permitían enumeración masiva |
|-
| Falta de autorización a nivel de objeto | El backend no verificaba si el solicitante tenía permiso para acceder a cada perfil |
| IDs secuenciales predecibles || Los identificadores de cuenta permitían enumeración masiva
| Controles de acceso rotos | Endpoints de gestión de cuentas sin autenticación suficiente |
|-
| Falta de rate limiting | No había límites en el número de consultas a la API |
| Falta de autorización a nivel de objeto || El backend no verificaba si el solicitante tenía permiso para acceder a cada perfil
| Sin detección de scraping | No se identificó la extracción masiva de datos |
|-
| Controles de acceso rotos || Endpoints de gestión de cuentas sin autenticación suficiente
|-
| Falta de rate limiting || No había límites en el número de consultas a la API
|-
| Sin detección de scraping || No se identificó la extracción masiva de datos
|}


=== Lo que Condé Nast NO ha explicado ===
=== Lo que Condé Nast NO ha explicado ===
Línea 111: Línea 159:
== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==


| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
{| class="wikitable"
|------------------------|----------------------|------------------------------|
! Táctica (MITRE ATT&CK) !! Técnica / Subtécnica !! Descripción / Implementación
| Initial Access (TA0001) | Exploit Public-Facing Application (T1190) | Explotación de vulnerabilidades IDOR en APIs de cuentas |
|-
| Initial Access (TA0001) | Valid Accounts (T1078) | Uso de cuentas existentes para acceso no autorizado |
| Initial Access (TA0001) || Exploit Public-Facing Application (T1190) || Explotación de vulnerabilidades IDOR en APIs de cuentas
| Discovery (TA0007) | Account Discovery (T1087) | Enumeración de IDs de cuenta para identificar objetivos |
|-
| Collection (TA0009) | Data from Information Repositories (T1213) | Extracción de datos de usuarios desde APIs |
| Initial Access (TA0001) || Valid Accounts (T1078) || Uso de cuentas existentes para acceso no autorizado
| Collection (TA0009) | Data from Local System (T1005) | Almacenamiento de datos extraídos en sistemas locales |
|-
| Exfiltration (TA0010) | Exfiltration Over Web Service (T1567) | Transferencia de datos a servidores externos |
| Discovery (TA0007) || Account Discovery (T1087) || Enumeración de IDs de cuenta para identificar objetivos
| Impact (TA0040) | Data Manipulation (T1565) | Potencial uso de datos para phishing y fraude |
|-
| Collection (TA0009) || Data from Information Repositories (T1213) || Extracción de datos de usuarios desde APIs
|-
| Collection (TA0009) || Data from Local System (T1005) || Almacenamiento de datos extraídos en sistemas locales
|-
| Exfiltration (TA0010) || Exfiltration Over Web Service (T1567) || Transferencia de datos a servidores externos
|-
| Impact (TA0040) || Data Manipulation (T1565) || Potencial uso de datos para phishing y fraude
|}


== Flujo de Ataque (Cyber Kill Chain) ==
== Flujo de Ataque (Cyber Kill Chain) ==


| Fase | Descripción |
{| class="wikitable"
|------|-------------|
! Fase !! Descripción
| 1. Reconocimiento | Identificación de endpoints de API de Condé Nast y estructura de IDs |
|-
| 2. Armamento | Desarrollo de scripts de enumeración y extracción automatizada |
| 1. Reconocimiento || Identificación de endpoints de API de Condé Nast y estructura de IDs
| 3. Entrega | Acceso a las APIs a través de peticiones HTTP directas |
|-
| 4. Explotación | Iteración de IDs para recuperar registros de usuarios no autorizados |
| 2. Armamento || Desarrollo de scripts de enumeración y extracción automatizada
| 5. Instalación | Almacenamiento de los datos extraídos en servidores controlados |
|-
| 6. Comando y Control | No aplica (ataque de extracción directa, no persistente) |
| 3. Entrega || Acceso a las APIs a través de peticiones HTTP directas
| 7. Acción sobre Objetivos | - Filtración de subconjunto WIRED (diciembre 2025) |
|-
| | - Venta de base de datos completa (septiembre 2026) |
| 4. Explotación || Iteración de IDs para recuperar registros de usuarios no autorizados
| | - Potencial uso para phishing, fraude y correlación de datos |
|-
| 5. Instalación || Almacenamiento de los datos extraídos en servidores controlados
|-
| 6. Comando y Control || No aplica (ataque de extracción directa, no persistente)
|-
| 7. Acción sobre Objetivos || Filtración de subconjunto WIRED (diciembre 2025); Venta de base de datos completa (septiembre 2026); Potencial uso para phishing, fraude y correlación de datos
|}


== Infraestructura Utilizada ==
== Infraestructura Utilizada ==


| Tipo | Característica | Propósito |
{| class="wikitable"
|------|----------------|-----------|
! Tipo !! Característica !! Propósito
| Scripts de enumeración | Automatización de peticiones HTTP | Extracción masiva de datos |
|-
| Proxies / VPN | Múltiples IPs para evadir detección | Distribución de consultas |
| Scripts de enumeración || Automatización de peticiones HTTP || Extracción masiva de datos
| Servidores de almacenamiento | Infraestructura para retener datos | Almacenamiento de 32,8M de registros |
|-
| Foro de ciberdelincuencia | Foro ruso con depósito en garantía | Venta de la base de datos |
| Proxies / VPN || Múltiples IPs para evadir detección || Distribución de consultas
| Servicios de correo | Apple Relay, iCloud, Outlook, etc. | No aplica (datos de víctimas) |
|-
| Servidores de almacenamiento || Infraestructura para retener datos || Almacenamiento de 32,8M de registros
|-
| Foro de ciberdelincuencia || Foro ruso con depósito en garantía || Venta de la base de datos
|}


== Detalle Técnico - Vulnerabilidad IDOR y Broken Access Control ==
== Detalle Técnico - Vulnerabilidad IDOR y Broken Access Control ==
Línea 153: Línea 219:
=== Vulnerabilidad explotada ===
=== Vulnerabilidad explotada ===


| Componente | Problema |
{| class="wikitable"
|------------|----------|
! Componente !! Problema
| IDs secuenciales | Los IDs de cuenta eran predecibles (1, 2, 3, ...) |
|-
| Falta de autorización | El backend no verificaba si el solicitante tenía permiso |
| IDs secuenciales || Los IDs de cuenta eran predecibles (1, 2, 3, ...)
| Endpoints sin autenticación | Algunos endpoints permitían acceso sin autenticación |
|-
| Sin rate limiting | No había límites en el número de consultas |
| Falta de autorización || El backend no verificaba si el solicitante tenía permiso
| Sin detección de scraping | No se identificó la extracción masiva |
|-
| Endpoints sin autenticación || Algunos endpoints permitían acceso sin autenticación
|-
| Sin rate limiting || No había límites en el número de consultas
|-
| Sin detección de scraping || No se identificó la extracción masiva
|}


=== Cálculo de factibilidad ===
=== Cálculo de factibilidad ===


| Parámetro | Valor |
{| class="wikitable"
|-----------|-------|
! Parámetro !! Valor
| IDs de cuenta | Secuenciales y predecibles |
|-
| Velocidad de extracción | Miles de registros por hora |
| IDs de cuenta || Secuenciales y predecibles
| Tiempo para extraer 32,8M | Días o semanas (según la muestra) |
|-
| Detección | Nula (no había monitoreo de scraping) |
| Velocidad de extracción || Miles de registros por hora
| Probabilidad de éxito | ALTA (sin controles de acceso efectivos) |
|-
| Tiempo para extraer 32,8M || Días o semanas (según la muestra)
|-
| Detección || Nula (no había monitoreo de scraping)
|-
| Probabilidad de éxito || ALTA (sin controles de acceso efectivos)
|}


=== Nota sobre el impacto ===
=== Nota sobre el impacto ===
Línea 175: Línea 253:
Los atacantes no necesitaban explotar vulnerabilidades complejas. La combinación de IDs secuenciales y falta de autorización a nivel de objeto permitió la extracción masiva de datos sin ser detectados durante semanas.
Los atacantes no necesitaban explotar vulnerabilidades complejas. La combinación de IDs secuenciales y falta de autorización a nivel de objeto permitió la extracción masiva de datos sin ser detectados durante semanas.


== Bóvedas Robadas - Protección y Riesgos ==
== Datos Expuestos ==


''Esta sección no aplica a este incidente, ya que no se robaron bóvedas de contraseñas. Sin embargo, se incluye para mantener la estructura similar a la página de Dashlane.''
{| class="wikitable"
 
! Campo !! Porcentaje de registros
'''Datos expuestos:'''
|-
 
| Dirección de correo electrónico || 100%
| Campo | Porcentaje de registros |
|-
|-------|------------------------|
| Nombre y apellido || 31,6%
| Dirección de correo electrónico | 100% |
|-
| Nombre y apellido | 31,6% |
| Dirección postal || 22,3%
| Dirección postal | 22,3% |
|-
| Género | 17,5% |
| Género || 17,5%
| Fecha de nacimiento | 12,6% |
|-
| Número de teléfono | 2,9% |
| Fecha de nacimiento || 12,6%
|-
| Número de teléfono || 2,9%
|}


'''Datos NO expuestos:'''
'''Datos NO expuestos:'''
Línea 198: Línea 279:
== Víctimas y Sectores Afectados ==
== Víctimas y Sectores Afectados ==


| Categoría | Datos |
{| class="wikitable"
|-----------|-------|
! Categoría !! Datos
| Número de registros | 32.815.767 |
|-
| Número de afectados | 32,8 millones de usuarios |
| Número de registros || 32.815.767
| Publicaciones afectadas | Vogue, The New Yorker, GQ, Glamour, WIRED, Vanity Fair, Allure, Bon Appétit, y otras |
|-
| Tipo de clientes | Suscriptores de revistas, usuarios registrados |
| Número de afectados || 32,8 millones de usuarios
| Sectores potencialmente afectados | Medios de comunicación, publicación, consumo |
|-
| Geografía | Global (con mayoría en EE.UU., 82% de los registros) |
| Publicaciones afectadas || Vogue, The New Yorker, GQ, Glamour, WIRED, Vanity Fair, Allure, Bon Appétit, y otras
| Subconjunto de WIRED | 2.366.576 registros (filtrados en diciembre 2025) |
|-
| Registros no-WIRED | 30.455.594 (no públicos hasta septiembre 2026) |
| Tipo de clientes || Suscriptores de revistas, usuarios registrados
|-
| Sectores potencialmente afectados || Medios de comunicación, publicación, consumo
|-
| Geografía || Global (con mayoría en EE.UU., 82% de los registros)
|-
| Subconjunto de WIRED || 2.366.576 registros (filtrados en diciembre 2025)
|-
| Registros no-WIRED || 30.455.594 (no públicos hasta septiembre 2026)
|}


=== Notificación a clientes ===
=== Notificación a clientes ===
Línea 217: Línea 307:
== Impacto y Riesgo ==
== Impacto y Riesgo ==


| Categoría | Nivel | Descripción |
{| class="wikitable"
|-----------|-------|-------------|
! Categoría !! Nivel !! Descripción
| Impacto inmediato | MEDIO-ALTO | 32,8M de registros a la venta |
|-
| Riesgo de phishing | ALTO | Datos suficientes para correos dirigidos convincentes |
| Impacto inmediato || MEDIO-ALTO || 32,8M de registros a la venta
| Riesgo de fraude postal | MEDIO | 22,3% de registros con dirección postal |
|-
| Impacto reputacional (Condé Nast) | ALTO | Silencio corporativo y falta de transparencia |
| Riesgo de phishing || ALTO || Datos suficientes para correos dirigidos convincentes
| Riesgo sistémico | MEDIO | Base de datos de usuarios de medios de comunicación |
|-
| Probabilidad de reincidencia | MEDIA | Si no se corrigen las vulnerabilidades IDOR |
| Riesgo de fraude postal || MEDIO || 22,3% de registros con dirección postal
|-
| Impacto reputacional (Condé Nast) || ALTO || Silencio corporativo y falta de transparencia
|-
| Riesgo sistémico || MEDIO || Base de datos de usuarios de medios de comunicación
|-
| Probabilidad de reincidencia || MEDIA || Si no se corrigen las vulnerabilidades IDOR
|}


=== Comparativa con otros incidentes de filtración de datos ===
=== Comparativa con otros incidentes de filtración de datos ===


| Incidente | Año | Impacto | Lección clave |
{| class="wikitable"
|-----------|-----|---------|---------------|
! Incidente !! Año !! Impacto !! Lección clave
| LastPass | 2022 | Bóvedas encriptadas de 25M+ usuarios robadas | Las bóvedas offline pueden ser descifradas con el tiempo |
|-
| Passwordstate | 2021 | Actualización de software comprometida (malware) | Los mecanismos de actualización son vectores críticos |
| LastPass || 2022 || Bóvedas encriptadas de 25M+ usuarios robadas || Las bóvedas offline pueden ser descifradas con el tiempo
| Dashlane | 2026 | ~20 bóvedas robadas por fuerza bruta a 2FA | El 2FA no es invencible si no hay rate limiting |
|-
| '''Condé Nast''' | '''2025-2026''' | '''32,8M de registros de usuarios a la venta''' | '''Las vulnerabilidades IDOR permiten extracción masiva sin detección''' |
| Passwordstate || 2021 || Actualización de software comprometida (malware) || Los mecanismos de actualización son vectores críticos
|-
| Dashlane || 2026 || ~20 bóvedas robadas por fuerza bruta a 2FA || El 2FA no es invencible si no hay rate limiting
|-
| '''Condé Nast''' || '''2025-2026''' || '''32,8M de registros de usuarios a la venta''' || '''Las vulnerabilidades IDOR permiten extracción masiva sin detección'''
|}


=== Lecciones del incidente LastPass (2022) ===
=== Lecciones del incidente LastPass (2022) ===
Línea 248: Línea 350:
=== Para usuarios afectados (los 32,8M) ===
=== Para usuarios afectados (los 32,8M) ===


| Acción | Urgencia | Descripción |
{| class="wikitable"
|--------|----------|-------------|
! Acción !! Urgencia !! Descripción
| Desconfiar de correos de suscripción | ALTA | Avisos de renovación, problemas de facturación, ofertas de regalo |
|-
| Acceder directamente a los sitios web | ALTA | En lugar de usar enlaces de correos electrónicos |
| Desconfiar de correos de suscripción || ALTA || Avisos de renovación, problemas de facturación, ofertas de regalo
| Tratar el correo físico con sospecha | MEDIA | Cartas fraudulentas que mencionan la revista |
|-
| Verificar la dirección de correo | MEDIA | Si se reutiliza en otros servicios, esa reutilización es la exposición |
| Acceder directamente a los sitios web || ALTA || En lugar de usar enlaces de correos electrónicos
| Usar gestores de contraseñas y MFA | MEDIA | Aunque no se expusieron contraseñas, es buena práctica |
|-
| Monitorear intentos de phishing | ALTA | Estar atento a mensajes inesperados |
| Tratar el correo físico con sospecha || MEDIA || Cartas fraudulentas que mencionan la revista
|-
| Verificar la dirección de correo || MEDIA || Si se reutiliza en otros servicios, esa reutilización es la exposición
|-
| Usar gestores de contraseñas y MFA || MEDIA || Aunque no se expusieron contraseñas, es buena práctica
|-
| Monitorear intentos de phishing || ALTA || Estar atento a mensajes inesperados
|}


=== Para organizaciones (medidas post-incidente) ===
=== Para organizaciones (medidas post-incidente) ===


| Medida | Estado según Condé Nast |
{| class="wikitable"
|--------|------------------------|
! Medida !! Estado según Condé Nast
| Auditoría de APIs para IDOR | No especificado |
|-
| Implementación de autorización a nivel de objeto | No especificado |
| Auditoría de APIs para IDOR || No especificado
| Rate limiting en APIs de cuentas | No especificado |
|-
| Reemplazo de IDs secuenciales | No especificado |
| Implementación de autorización a nivel de objeto || No especificado
| Monitoreo de scraping | No especificado |
|-
| Notificación a afectados fuera de WIRED | Pendiente |
| Rate limiting en APIs de cuentas || No especificado
| Transparencia total | Pendiente (silencio corporativo) |
|-
| Reemplazo de IDs secuenciales || No especificado
|-
| Monitoreo de scraping || No especificado
|-
| Notificación a afectados fuera de WIRED || Pendiente
|-
| Transparencia total || Pendiente (silencio corporativo)
|}


=== Para la industria de medios y publicación ===
=== Para la industria de medios y publicación ===
Línea 280: Línea 397:
=== Para usuarios en general (no solo Condé Nast) ===
=== Para usuarios en general (no solo Condé Nast) ===


| Recomendación | Por qué |
{| class="wikitable"
|---------------|---------|
! Recomendación !! Por qué
| Usar frases de paso largas | 20+ caracteres son más seguras que contraseñas cortas |
|-
| Habilitar 2FA en todas las cuentas críticas | Email, banca, criptomonedas, gestor de contraseñas |
| Usar frases de paso largas || 20+ caracteres son más seguras que contraseñas cortas
| Preferir claves de seguridad físicas | YubiKey, Google Titan, passkeys |
|-
| No reutilizar contraseñas | Una brecha en un sitio no compromete otros |
| Habilitar 2FA en todas las cuentas críticas || Email, banca, criptomonedas, gestor de contraseñas
| Monitorear brechas de datos | Usar servicios como Have I Been Pwned |
|-
| Preferir claves de seguridad físicas || YubiKey, Google Titan, passkeys
|-
| No reutilizar contraseñas || Una brecha en un sitio no compromete otros
|-
| Monitorear brechas de datos || Usar servicios como Have I Been Pwned
|}


== Herramientas de Detección ==
== Herramientas de Detección ==
Línea 292: Línea 415:
=== Para Condé Nast (post-incidente) ===
=== Para Condé Nast (post-incidente) ===


| Herramienta/Técnica | Propósito |
{| class="wikitable"
|---------------------|-----------|
! Herramienta/Técnica !! Propósito
| Rate limiting | Limitar consultas a APIs por IP/cuenta |
|-
| Detección de scraping | Identificar patrones de enumeración masiva |
| Rate limiting || Limitar consultas a APIs por IP/cuenta
| Alertas en tiempo real | Notificar a usuarios y SOC sobre actividad anómala |
|-
| WAF con reglas específicas | Bloquear tráfico automatizado sospechoso |
| Detección de scraping || Identificar patrones de enumeración masiva
| Auditoría de APIs | Revisar endpoints para IDOR y broken access control |
|-
| Alertas en tiempo real || Notificar a usuarios y SOC sobre actividad anómala
|-
| WAF con reglas específicas || Bloquear tráfico automatizado sospechoso
|-
| Auditoría de APIs || Revisar endpoints para IDOR y broken access control
|}


=== Para usuarios (autodetección) ===
=== Para usuarios (autodetección) ===


| Indicador | Qué buscar |
{| class="wikitable"
|-----------|------------|
! Indicador !! Qué buscar
| Correos de suscripción inesperados | Avisos de renovación, facturación, regalos |
|-
| Correo postal fraudulento | Cartas que mencionan la revista |
| Correos de suscripción inesperados || Avisos de renovación, facturación, regalos
| Actividad de inicio de sesión inusual | Horarios o ubicaciones anormales |
|-
| Intentos de phishing | Mensajes que solicitan verificación de cuenta |
| Correo postal fraudulento || Cartas que mencionan la revista
|-
| Actividad de inicio de sesión inusual || Horarios o ubicaciones anormales
|-
| Intentos de phishing || Mensajes que solicitan verificación de cuenta
|}


=== Servicios de monitoreo recomendados ===
=== Servicios de monitoreo recomendados ===


| Servicio | Propósito |
{| class="wikitable"
|----------|-----------|
! Servicio !! Propósito
| Have I Been Pwned (HIBP) | Verificar si el correo apareció en brechas de datos |
|-
| Monitor de crédito | Detectar actividad financiera no autorizada |
| Have I Been Pwned (HIBP) || Verificar si el correo apareció en brechas de datos
| Alertas de inicio de sesión | Configurar en cuentas críticas (email, banca, etc.) |
|-
| Monitor de crédito || Detectar actividad financiera no autorizada
|-
| Alertas de inicio de sesión || Configurar en cuentas críticas (email, banca, etc.)
|}


== Antecedentes: Incidentes en Gestores de Contraseñas y Medios ==
== Antecedentes: Incidentes en Gestores de Contraseñas y Medios ==


| Fecha | Empresa | Incidente | Impacto |
{| class="wikitable"
|-------|---------|-----------|---------|
! Fecha !! Empresa !! Incidente !! Impacto
| 2021 | Click Studios (Passwordstate) | Actualización de software comprometida con malware | Clientes afectados tuvieron que restablecer todas sus credenciales |
|-
| 2022 | LastPass | Brecha masiva: bóvedas de 25M+ usuarios robadas | Descifrado de bóvedas con contraseñas débiles; robo de criptomonedas reportado |
| 2021 || Click Studios (Passwordstate) || Actualización de software comprometida con malware || Clientes afectados tuvieron que restablecer todas sus credenciales
| 2026 | Dashlane | Fuerza bruta a 2FA, ~20 bóvedas robadas | Riesgo de descifrado para clientes con contraseñas maestras débiles |
|-
| '''2025-2026''' | '''Condé Nast''' | '''Filtración de 32,8M de registros de usuarios''' | '''Datos a la venta por $15.000; riesgo de phishing dirigido''' |
| 2022 || LastPass || Brecha masiva: bóvedas de 25M+ usuarios robadas || Descifrado de bóvedas con contraseñas débiles; robo de criptomonedas reportado
|-
| 2026 || Dashlane || Fuerza bruta a 2FA, ~20 bóvedas robadas || Riesgo de descifrado para clientes con contraseñas maestras débiles
|-
| '''2025-2026''' || '''Condé Nast''' || '''Filtración de 32,8M de registros de usuarios''' || '''Datos a la venta por $15.000; riesgo de phishing dirigido'''
|}


=== Patrón común ===
=== Patrón común ===
Línea 355: Línea 498:
== Historial de Revisiones ==
== Historial de Revisiones ==


| Fecha | Versión | Autor | Cambios Realizados |
{| class="wikitable"
|-------|---------|-------|-------------------|
! Fecha !! Versión !! Autor !! Cambios Realizados
| 2026-09-10 | 1.0 | Fernando Vargas Hincapié | Creación inicial basada en el informe de Ransomnews, Security Affairs y BleepingComputer |
|-
| 2026-09-10 || 1.0 || Fernando Vargas Hincapié || Creación inicial basada en el informe de Ransomnews, Security Affairs y BleepingComputer
|}


== Indicadores de Compromiso (IOCs) ==
== Indicadores de Compromiso (IOCs) ==
Línea 363: Línea 508:
=== Para usuarios de Condé Nast ===
=== Para usuarios de Condé Nast ===


| Tipo de indicador | Qué buscar | Acción |
{| class="wikitable"
|-------------------|------------|--------|
! Tipo de indicador !! Qué buscar !! Acción
| Correos de suscripción inesperados | Avisos de renovación, facturación, regalos | Acceder directamente al sitio web |
|-
| Correo postal fraudulento | Cartas que mencionan la revista | Desconfiar y verificar |
| Correos de suscripción inesperados || Avisos de renovación, facturación, regalos || Acceder directamente al sitio web
| Intentos de phishing | Mensajes que solicitan verificación de cuenta | No hacer clic en enlaces |
|-
| Reutilización de correo electrónico | Si el correo expuesto se usa en otros servicios | Cambiar contraseñas en otros servicios |
| Correo postal fraudulento || Cartas que mencionan la revista || Desconfiar y verificar
|-
| Intentos de phishing || Mensajes que solicitan verificación de cuenta || No hacer clic en enlaces
|-
| Reutilización de correo electrónico || Si el correo expuesto se usa en otros servicios || Cambiar contraseñas en otros servicios
|}


=== Para Condé Nast (medidas post-incidente) ===
=== Para Condé Nast (medidas post-incidente) ===


| Indicador de detección | Implementación recomendada |
{| class="wikitable"
|------------------------|---------------------------|
! Indicador de detección !! Implementación recomendada
| Enumeración de IDs secuenciales | Detectar patrones de acceso secuencial → bloquear |
|-
| Scraping de APIs | Detectar múltiples consultas desde la misma IP → bloquear |
| Enumeración de IDs secuenciales || Detectar patrones de acceso secuencial → bloquear
| Acceso a perfiles no autorizados | Implementar autorización a nivel de objeto |
|-
| Velocidad de consultas > 100/minuto | Claramente automatizado → bloquear IP/origen |
| Scraping de APIs || Detectar múltiples consultas desde la misma IP → bloquear
|-
| Acceso a perfiles no autorizados || Implementar autorización a nivel de objeto
|-
| Velocidad de consultas > 100/minuto || Claramente automatizado → bloquear IP/origen
|}


=== Servicios de monitoreo recomendados ===
=== Servicios de monitoreo recomendados ===


| Servicio | Propósito |
{| class="wikitable"
|----------|-----------|
! Servicio !! Propósito
| Have I Been Pwned (HIBP) | Verificar si el correo apareció en brechas de datos |
|-
| Monitor de crédito | Detectar actividad financiera no autorizada |
| Have I Been Pwned (HIBP) || Verificar si el correo apareció en brechas de datos
| Alertas de inicio de sesión | Configurar en cuentas críticas (email, banca, etc.) |
|-
| Monitor de crédito || Detectar actividad financiera no autorizada
|-
| Alertas de inicio de sesión || Configurar en cuentas críticas (email, banca, etc.)
|}


== Preguntas sin respuesta (según informe de Ransomnews) ==
== Preguntas sin respuesta (según informe de Ransomnews) ==


| Pregunta | Estado |
{| class="wikitable"
|----------|--------|
! Pregunta !! Estado
| ¿Cómo obtuvieron los atacantes acceso inicial al sistema de cuentas? | No respondido |
|-
| ¿Por qué las vulnerabilidades IDOR no fueron detectadas antes? | No respondido |
| ¿Cómo obtuvieron los atacantes acceso inicial al sistema de cuentas? || No respondido
| ¿Qué medidas específicas tomó Condé Nast para mitigar futuros incidentes? | No especificado |
|-
| ¿Los clientes afectados fuera de WIRED han sido notificados? | No claro |
| ¿Por qué las vulnerabilidades IDOR no fueron detectadas antes? || No respondido
| ¿Los atacantes contactaron a Condé Nast para exigir rescate? | No respondido |
|-
| ¿Condé Nast sabe quién está detrás del ataque? | No respondido |
| ¿Qué medidas específicas tomó Condé Nast para mitigar futuros incidentes? || No especificado
| ¿Se ha confirmado que el vendedor es "Lovely"? | No verificado independientemente |
|-
| ¿Los clientes afectados fuera de WIRED han sido notificados? || No claro
|-
| ¿Los atacantes contactaron a Condé Nast para exigir rescate? || No respondido
|-
| ¿Condé Nast sabe quién está detrás del ataque? || No respondido
|-
| ¿Se ha confirmado que el vendedor es "Lovely"? || No verificado independientemente
|}


== Etiquetas / Categorías ==
== Etiquetas / Categorías ==
Línea 403: Línea 570:
condé nast data breach wired leak 32 million records idor vulnerability broken access control lovely ransomnews security affairs bleepingcomputer phishing credential exposure 2025 2026
condé nast data breach wired leak 32 million records idor vulnerability broken access control lovely ransomnews security affairs bleepingcomputer phishing credential exposure 2025 2026


[[Categoría:Campañas]]
[[Categoría:CAMPAÑAS|CAMPAÑAS]]

Revisión actual - 14:36 10 sep 2026

Condé Nast: Filtración y Venta de 32,8 Millones de Registros de Usuarios (2025-2026)

Nombres Alternativos / Aliases

  • Condé Nast Data Breach (Por el impacto)
  • WIRED Leak (Por la publicación inicial afectada)
  • Condé Nast Database Sale (Por la venta posterior)
  • Lovely Leak (Por el alias del presunto atacante)
  • Condé Nast 33M Records Incident (Por el volumen de datos)

Fecha de Detección / Actividad

Fecha Evento
Septiembre - 23 octubre 2025 Extracción de datos (según evidencia de la muestra)
8-9 septiembre 2025 Último registro en el archivo de WIRED (fecha de corte)
22 noviembre 2025 "Lovely" contacta a DataBreaches.net haciéndose pasar por investigador
20 diciembre 2025 Filtración pública del subconjunto de WIRED (2.366.576 registros)
7 septiembre 2026 Puesta a la venta de la base de datos completa (32.815.767 registros) en foro ruso
7 septiembre 2026 Análisis de Ransomnews verifica autenticidad de la muestra
7 septiembre 2026 Artículo de Pierluigi Paganini (Security Affairs)
7 septiembre 2026 Artículo de Ransomnews Research Team
7 septiembre 2026 Artículo de BleepingComputer (referencia al informe de WIRED)
8 septiembre 2026 Artículo de Sergiu Gatlan (BleepingComputer) sobre F5 (contexto)

Estado: Activo. La base de datos completa está a la venta. Condé Nast no ha confirmado públicamente la brecha.

Actor de Amenaza (Atribución)

Categoría Descripción
Nombre del Actor "Lovely" (presunto, según el vendedor)
Vínculo Gubernamental No establecido
Tipo de Actor Ciberdelincuencia / Venta de datos / Posible ransomware
Sofisticación MEDIA-ALTA. Utilizan:
  • Explotación de vulnerabilidades IDOR y broken access control
  • Enumeración de IDs secuenciales para extraer datos masivamente
  • Capacidad de retener datos durante meses antes de venderlos
  • Uso de foros de ciberdelincuencia en ruso con depósito en garantía
Motivación Financiera (venta de datos a compradores de phishing, fraude, etc.)
Objetivo 32,8 millones de registros de usuarios de Condé Nast
Precio de venta $15.000 USD (menos de $0,0005 por registro)

Resumen Ejecutivo

En septiembre de 2026, una base de datos con 32.815.767 registros de usuarios de Condé Nast fue puesta a la venta en un foro de ciberdelincuencia en ruso por $15.000 USD. El vendedor afirmaba ser el responsable de la filtración de WIRED de diciembre de 2025 (bajo el alias "Lovely") y ofrecía una versión sin los registros de WIRED que contenía 30.455.594 líneas.

Ransomnews analizó una muestra de 5.000 filas y concluyó que los datos son auténticos, basándose en pruebas de coherencia interna (tasas de llenado de campos, correlación nombre-email, fechas de proveedores, coherencia geográfica).

Hechos confirmados

Hecho Estado
Datos de 32,8 millones de usuarios a la venta ✅ Confirmado (análisis de muestra)
Muestra de 5.000 filas verificada como auténtica ✅ Confirmado (Ransomnews)
Subconjunto de WIRED (2,3M registros) filtrado en diciembre 2025 ✅ Confirmado (BleepingComputer)
Vendedor afirma ser "Lovely" ⚠️ No verificado independientemente
Condé Nast ha confirmado la brecha ❌ No (silencio corporativo)
Contraseñas o datos de pago expuestos ❌ No (según el esquema de la muestra)
Sistema de cuentas de Condé Nast comprometido ✅ Probable (según evidencia de fechas)

Línea de tiempo del incidente (UTC)

Fecha y hora Evento
Septiembre 2025 Comienza la extracción de datos (cuentas nuevas aparecen parcialmente)
8-9 septiembre 2025 Último registro en el archivo de WIRED (fecha de corte)
23 octubre 2025 Último registro en la muestra (fin de la extracción)
22 noviembre 2025 "Lovely" contacta a DataBreaches.net como "Dissent Doe"
20 diciembre 2025 Filtración pública del archivo de WIRED (2.366.576 registros)
7 septiembre 2026 Base de datos completa a la venta en foro ruso ($15.000)
7 septiembre 2026 Ransomnews publica análisis de verificación
7 septiembre 2026 Security Affairs publica artículo de Pierluigi Paganini

Declaración oficial de Condé Nast

Condé Nast no ha emitido ninguna declaración pública sobre esta filtración. No respondió a las preguntas de SecurityWeek en diciembre de 2025. La única información pública provino de Ars Technica (propiedad de Condé Nast), que afirmó que su propio sistema independiente no se vio afectado.

Vector de Ataque / Métodos de Distribución

Mecanismo técnico del ataque

Fase Descripción
1. Reconocimiento Identificación de endpoints de API de Condé Nast con IDs secuenciales predecibles
2. Explotación IDOR Iteración a través de IDs de cuenta para acceder a perfiles de otros usuarios
3. Extracción masiva Descarga automatizada de registros de usuarios a gran escala
4. Almacenamiento Retención de los datos durante meses (septiembre-octubre 2025)
5. Filtración selectiva Publicación de un subconjunto (WIRED) para demostrar autenticidad
6. Venta privada Venta de la base de datos completa en foro de ciberdelincuencia

Por qué fue posible

Factor Explicación
IDs secuenciales predecibles Los identificadores de cuenta permitían enumeración masiva
Falta de autorización a nivel de objeto El backend no verificaba si el solicitante tenía permiso para acceder a cada perfil
Controles de acceso rotos Endpoints de gestión de cuentas sin autenticación suficiente
Falta de rate limiting No había límites en el número de consultas a la API
Sin detección de scraping No se identificó la extracción masiva de datos

Lo que Condé Nast NO ha explicado

  • Cómo los atacantes obtuvieron acceso inicial al sistema de cuentas.
  • Por qué las vulnerabilidades IDOR no fueron detectadas antes.
  • Qué medidas específicas se han tomado para mitigar futuros incidentes.
  • Si se notificó a los 30,5 millones de afectados fuera de WIRED.
  • Si los atacantes contactaron a Condé Nast para exigir rescate.

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK) Técnica / Subtécnica Descripción / Implementación
Initial Access (TA0001) Exploit Public-Facing Application (T1190) Explotación de vulnerabilidades IDOR en APIs de cuentas
Initial Access (TA0001) Valid Accounts (T1078) Uso de cuentas existentes para acceso no autorizado
Discovery (TA0007) Account Discovery (T1087) Enumeración de IDs de cuenta para identificar objetivos
Collection (TA0009) Data from Information Repositories (T1213) Extracción de datos de usuarios desde APIs
Collection (TA0009) Data from Local System (T1005) Almacenamiento de datos extraídos en sistemas locales
Exfiltration (TA0010) Exfiltration Over Web Service (T1567) Transferencia de datos a servidores externos
Impact (TA0040) Data Manipulation (T1565) Potencial uso de datos para phishing y fraude

Flujo de Ataque (Cyber Kill Chain)

Fase Descripción
1. Reconocimiento Identificación de endpoints de API de Condé Nast y estructura de IDs
2. Armamento Desarrollo de scripts de enumeración y extracción automatizada
3. Entrega Acceso a las APIs a través de peticiones HTTP directas
4. Explotación Iteración de IDs para recuperar registros de usuarios no autorizados
5. Instalación Almacenamiento de los datos extraídos en servidores controlados
6. Comando y Control No aplica (ataque de extracción directa, no persistente)
7. Acción sobre Objetivos Filtración de subconjunto WIRED (diciembre 2025); Venta de base de datos completa (septiembre 2026); Potencial uso para phishing, fraude y correlación de datos

Infraestructura Utilizada

Tipo Característica Propósito
Scripts de enumeración Automatización de peticiones HTTP Extracción masiva de datos
Proxies / VPN Múltiples IPs para evadir detección Distribución de consultas
Servidores de almacenamiento Infraestructura para retener datos Almacenamiento de 32,8M de registros
Foro de ciberdelincuencia Foro ruso con depósito en garantía Venta de la base de datos

Detalle Técnico - Vulnerabilidad IDOR y Broken Access Control

¿Qué es IDOR?

IDOR (Insecure Direct Object Reference) es una vulnerabilidad de control de acceso que ocurre cuando una aplicación utiliza identificadores de objetos predecibles (como IDs numéricos secuenciales) para acceder a recursos, pero no verifica si el usuario tiene autorización para acceder a ellos.

Vulnerabilidad explotada

Componente Problema
IDs secuenciales Los IDs de cuenta eran predecibles (1, 2, 3, ...)
Falta de autorización El backend no verificaba si el solicitante tenía permiso
Endpoints sin autenticación Algunos endpoints permitían acceso sin autenticación
Sin rate limiting No había límites en el número de consultas
Sin detección de scraping No se identificó la extracción masiva

Cálculo de factibilidad

Parámetro Valor
IDs de cuenta Secuenciales y predecibles
Velocidad de extracción Miles de registros por hora
Tiempo para extraer 32,8M Días o semanas (según la muestra)
Detección Nula (no había monitoreo de scraping)
Probabilidad de éxito ALTA (sin controles de acceso efectivos)

Nota sobre el impacto

Los atacantes no necesitaban explotar vulnerabilidades complejas. La combinación de IDs secuenciales y falta de autorización a nivel de objeto permitió la extracción masiva de datos sin ser detectados durante semanas.

Datos Expuestos

Campo Porcentaje de registros
Dirección de correo electrónico 100%
Nombre y apellido 31,6%
Dirección postal 22,3%
Género 17,5%
Fecha de nacimiento 12,6%
Número de teléfono 2,9%

Datos NO expuestos:

  • No contiene contraseñas ni hashes.
  • No contiene nombres de usuario para mostrar.
  • No contiene datos de pago.

Víctimas y Sectores Afectados

Categoría Datos
Número de registros 32.815.767
Número de afectados 32,8 millones de usuarios
Publicaciones afectadas Vogue, The New Yorker, GQ, Glamour, WIRED, Vanity Fair, Allure, Bon Appétit, y otras
Tipo de clientes Suscriptores de revistas, usuarios registrados
Sectores potencialmente afectados Medios de comunicación, publicación, consumo
Geografía Global (con mayoría en EE.UU., 82% de los registros)
Subconjunto de WIRED 2.366.576 registros (filtrados en diciembre 2025)
Registros no-WIRED 30.455.594 (no públicos hasta septiembre 2026)

Notificación a clientes

  • WIRED notificó a los afectados por su filtración (2,3M) y los agregó a Have I Been Pwned.
  • Los otros 30,5 millones de afectados no han recibido notificación equivalente.
  • Condé Nast no ha emitido declaración pública.

Impacto y Riesgo

Categoría Nivel Descripción
Impacto inmediato MEDIO-ALTO 32,8M de registros a la venta
Riesgo de phishing ALTO Datos suficientes para correos dirigidos convincentes
Riesgo de fraude postal MEDIO 22,3% de registros con dirección postal
Impacto reputacional (Condé Nast) ALTO Silencio corporativo y falta de transparencia
Riesgo sistémico MEDIO Base de datos de usuarios de medios de comunicación
Probabilidad de reincidencia MEDIA Si no se corrigen las vulnerabilidades IDOR

Comparativa con otros incidentes de filtración de datos

Incidente Año Impacto Lección clave
LastPass 2022 Bóvedas encriptadas de 25M+ usuarios robadas Las bóvedas offline pueden ser descifradas con el tiempo
Passwordstate 2021 Actualización de software comprometida (malware) Los mecanismos de actualización son vectores críticos
Dashlane 2026 ~20 bóvedas robadas por fuerza bruta a 2FA El 2FA no es invencible si no hay rate limiting
Condé Nast 2025-2026 32,8M de registros de usuarios a la venta Las vulnerabilidades IDOR permiten extracción masiva sin detección

Lecciones del incidente LastPass (2022)

El informe de TechCrunch señala que, tras la brecha de LastPass en 2022:

  • "Los requisitos de contraseña para los primeros clientes eran mucho más débiles que el estándar posterior, lo que permitió a los hackers descifrar fácilmente las contraseñas de las bóvedas de algunos clientes mediante ataques de fuerza bruta."
  • "Se han reportado varios casos de hackers que robaron grandes cantidades de criptomonedas de los clientes, probablemente utilizando claves privadas almacenadas en bóvedas de LastPass robadas."

Aplicación a Condé Nast: Aunque no se expusieron contraseñas, la combinación de nombre, dirección postal y publicación a la que está suscrito el usuario permite ataques de phishing altamente dirigidos.

Recomendaciones de Mitigación

Para usuarios afectados (los 32,8M)

Acción Urgencia Descripción
Desconfiar de correos de suscripción ALTA Avisos de renovación, problemas de facturación, ofertas de regalo
Acceder directamente a los sitios web ALTA En lugar de usar enlaces de correos electrónicos
Tratar el correo físico con sospecha MEDIA Cartas fraudulentas que mencionan la revista
Verificar la dirección de correo MEDIA Si se reutiliza en otros servicios, esa reutilización es la exposición
Usar gestores de contraseñas y MFA MEDIA Aunque no se expusieron contraseñas, es buena práctica
Monitorear intentos de phishing ALTA Estar atento a mensajes inesperados

Para organizaciones (medidas post-incidente)

Medida Estado según Condé Nast
Auditoría de APIs para IDOR No especificado
Implementación de autorización a nivel de objeto No especificado
Rate limiting en APIs de cuentas No especificado
Reemplazo de IDs secuenciales No especificado
Monitoreo de scraping No especificado
Notificación a afectados fuera de WIRED Pendiente
Transparencia total Pendiente (silencio corporativo)

Para la industria de medios y publicación

  • Implementar autorización a nivel de objeto en todas las APIs de cuentas.
  • Reemplazar IDs secuenciales con identificadores no adivinables (UUIDs).
  • Implementar rate limiting agresivo en endpoints de cuentas.
  • Monitorear patrones de acceso anómalos (scraping, enumeración).
  • Establecer canales claros para divulgación de vulnerabilidades.
  • Notificar a los afectados de forma transparente y oportuna.

Para usuarios en general (no solo Condé Nast)

Recomendación Por qué
Usar frases de paso largas 20+ caracteres son más seguras que contraseñas cortas
Habilitar 2FA en todas las cuentas críticas Email, banca, criptomonedas, gestor de contraseñas
Preferir claves de seguridad físicas YubiKey, Google Titan, passkeys
No reutilizar contraseñas Una brecha en un sitio no compromete otros
Monitorear brechas de datos Usar servicios como Have I Been Pwned

Herramientas de Detección

Para Condé Nast (post-incidente)

Herramienta/Técnica Propósito
Rate limiting Limitar consultas a APIs por IP/cuenta
Detección de scraping Identificar patrones de enumeración masiva
Alertas en tiempo real Notificar a usuarios y SOC sobre actividad anómala
WAF con reglas específicas Bloquear tráfico automatizado sospechoso
Auditoría de APIs Revisar endpoints para IDOR y broken access control

Para usuarios (autodetección)

Indicador Qué buscar
Correos de suscripción inesperados Avisos de renovación, facturación, regalos
Correo postal fraudulento Cartas que mencionan la revista
Actividad de inicio de sesión inusual Horarios o ubicaciones anormales
Intentos de phishing Mensajes que solicitan verificación de cuenta

Servicios de monitoreo recomendados

Servicio Propósito
Have I Been Pwned (HIBP) Verificar si el correo apareció en brechas de datos
Monitor de crédito Detectar actividad financiera no autorizada
Alertas de inicio de sesión Configurar en cuentas críticas (email, banca, etc.)

Antecedentes: Incidentes en Gestores de Contraseñas y Medios

Fecha Empresa Incidente Impacto
2021 Click Studios (Passwordstate) Actualización de software comprometida con malware Clientes afectados tuvieron que restablecer todas sus credenciales
2022 LastPass Brecha masiva: bóvedas de 25M+ usuarios robadas Descifrado de bóvedas con contraseñas débiles; robo de criptomonedas reportado
2026 Dashlane Fuerza bruta a 2FA, ~20 bóvedas robadas Riesgo de descifrado para clientes con contraseñas maestras débiles
2025-2026 Condé Nast Filtración de 32,8M de registros de usuarios Datos a la venta por $15.000; riesgo de phishing dirigido

Patrón común

En los cuatro casos, el eslabón débil no fue el cifrado (AES-256 es seguro), sino:

  • Contraseñas maestras débiles (LastPass, Dashlane)
  • Mecanismos de autenticación mal implementados (Dashlane: falta de rate limiting en 2FA)
  • Procesos de actualización comprometidos (Passwordstate)
  • Vulnerabilidades de control de acceso (Condé Nast: IDOR y broken access control)

Opiniones de Expertos

  • "Este incidente demuestra un fallo fundamental en la implementación de controles de acceso por parte de Condé Nast. Una vulnerabilidad IDOR debería ser detectada en cualquier auditoría de seguridad básica. El hecho de que los atacantes pudieran extraer 32,8 millones de registros sin ser detectados durante semanas indica una falta grave de monitoreo y autorización a nivel de objeto. Es como tener una biblioteca con 32 millones de libros... y permitir que cualquiera los tome prestados sin carné."* — Fernando Vargas (CiberAnalyst)
  • "Lo más preocupante no es la filtración en sí, sino la falta de transparencia de Condé Nast. No han explicado cómo los atacantes obtuvieron acceso, qué medidas específicas tomaron después, ni si los 30,5 millones de afectados fuera de WIRED han sido notificados. Los clientes merecen respuestas claras cuando se trata de su información personal."* — Fernando Vargas
  • "Este incidente es un recordatorio de que las vulnerabilidades de control de acceso (como IDOR) siguen siendo una de las causas más comunes de filtraciones masivas de datos. La solución es simple en teoría: implementar autorización a nivel de objeto en todas las APIs, reemplazar IDs secuenciales con UUIDs y monitorear patrones de acceso anómalos. En la práctica, muchas organizaciones siguen fallando en esto."* — Fernando Vargas

Referencias y Fuentes

  • Ransomnews Research Team. (2026, 7 de septiembre). Condé Nast: 32,8 millones de registros de usuarios a la venta, muestra verificada.
  • Paganini, P. (2026, 7 de septiembre). Tras la filtración de WIRED, Condé Nast ofrece a la venta datos de 32,8 millones de usuarios. Security Affairs.
  • BleepingComputer. (2026, 7 de septiembre). Hacker claims to leak WIRED database with 2.3 million records.
  • DataBreaches.net. (2025, noviembre-diciembre). Condé Nast gets hacked, and DataBreaches gets "played".
  • SecurityWeek. (2025, diciembre). Hacker claims theft of 40 million Condé Nast records after WIRED data leak.
  • Ars Technica. (2025, diciembre). Condé Nast user database reportedly breached, Ars unaffected.
  • Have I Been Pwned. (2026). WIRED data breach entry.

Historial de Revisiones

Fecha Versión Autor Cambios Realizados
2026-09-10 1.0 Fernando Vargas Hincapié Creación inicial basada en el informe de Ransomnews, Security Affairs y BleepingComputer

Indicadores de Compromiso (IOCs)

Para usuarios de Condé Nast

Tipo de indicador Qué buscar Acción
Correos de suscripción inesperados Avisos de renovación, facturación, regalos Acceder directamente al sitio web
Correo postal fraudulento Cartas que mencionan la revista Desconfiar y verificar
Intentos de phishing Mensajes que solicitan verificación de cuenta No hacer clic en enlaces
Reutilización de correo electrónico Si el correo expuesto se usa en otros servicios Cambiar contraseñas en otros servicios

Para Condé Nast (medidas post-incidente)

Indicador de detección Implementación recomendada
Enumeración de IDs secuenciales Detectar patrones de acceso secuencial → bloquear
Scraping de APIs Detectar múltiples consultas desde la misma IP → bloquear
Acceso a perfiles no autorizados Implementar autorización a nivel de objeto
Velocidad de consultas > 100/minuto Claramente automatizado → bloquear IP/origen

Servicios de monitoreo recomendados

Servicio Propósito
Have I Been Pwned (HIBP) Verificar si el correo apareció en brechas de datos
Monitor de crédito Detectar actividad financiera no autorizada
Alertas de inicio de sesión Configurar en cuentas críticas (email, banca, etc.)

Preguntas sin respuesta (según informe de Ransomnews)

Pregunta Estado
¿Cómo obtuvieron los atacantes acceso inicial al sistema de cuentas? No respondido
¿Por qué las vulnerabilidades IDOR no fueron detectadas antes? No respondido
¿Qué medidas específicas tomó Condé Nast para mitigar futuros incidentes? No especificado
¿Los clientes afectados fuera de WIRED han sido notificados? No claro
¿Los atacantes contactaron a Condé Nast para exigir rescate? No respondido
¿Condé Nast sabe quién está detrás del ataque? No respondido
¿Se ha confirmado que el vendedor es "Lovely"? No verificado independientemente

Etiquetas / Categorías

condé nast data breach wired leak 32 million records idor vulnerability broken access control lovely ransomnews security affairs bleepingcomputer phishing credential exposure 2025 2026

Obtenido de «https://darfe.es/ciberwiki/index.php?title=Filtración_de_Condé_Nast&oldid=3396»