CiberWiki

Diferencia entre revisiones de «Filtración de Condé Nast»

Página Discusión

Filtración de Condé Nast (ver código)

Revisión del 14:35 10 sep 2026

274 bytes eliminados ,  10 septiembre
sin resumen de edición
VisualWikitexto
Sin resumen de edición
Sin resumen de edición
Línea 1: Línea 1:
[[Categoría:Campañas]]
[[Categoría:Campañas]]
= Condé Nast: Filtración y Venta de 32,8 Millones de Registros de Usuarios (2025-2026) =
= Condé Nast: Filtración y Venta de 32,8 Millones de Registros de Usuarios (2025-2026) =


Línea 12: Línea 13:
== Fecha de Detección / Actividad ==
== Fecha de Detección / Actividad ==


| Fecha | Evento |
{| class="wikitable"
|-------|--------|
! Fecha !! Evento
| Septiembre - 23 octubre 2025 | Extracción de datos (según evidencia de la muestra) |
|-
| 8-9 septiembre 2025 | Último registro en el archivo de WIRED (fecha de corte) |
| Septiembre - 23 octubre 2025 || Extracción de datos (según evidencia de la muestra)
| 22 noviembre 2025 | "Lovely" contacta a DataBreaches.net haciéndose pasar por investigador |
|-
| 20 diciembre 2025 | Filtración pública del subconjunto de WIRED (2.366.576 registros) |
| 8-9 septiembre 2025 || Último registro en el archivo de WIRED (fecha de corte)
| 7 septiembre 2026 | Puesta a la venta de la base de datos completa (32.815.767 registros) en foro ruso |
|-
| 7 septiembre 2026 | Análisis de Ransomnews verifica autenticidad de la muestra |
| 22 noviembre 2025 || "Lovely" contacta a DataBreaches.net haciéndose pasar por investigador
| 7 septiembre 2026 | Artículo de Pierluigi Paganini (Security Affairs) |
|-
| 7 septiembre 2026 | Artículo de Ransomnews Research Team |
| 20 diciembre 2025 || Filtración pública del subconjunto de WIRED (2.366.576 registros)
| 7 septiembre 2026 | Artículo de BleepingComputer (referencia al informe de WIRED) |
|-
| 8 septiembre 2026 | Artículo de Sergiu Gatlan (BleepingComputer) sobre F5 (contexto) |
| 7 septiembre 2026 || Puesta a la venta de la base de datos completa (32.815.767 registros) en foro ruso
|-
| 7 septiembre 2026 || Análisis de Ransomnews verifica autenticidad de la muestra
|-
| 7 septiembre 2026 || Artículo de Pierluigi Paganini (Security Affairs)
|-
| 7 septiembre 2026 || Artículo de Ransomnews Research Team
|-
| 7 septiembre 2026 || Artículo de BleepingComputer (referencia al informe de WIRED)
|-
| 8 septiembre 2026 || Artículo de Sergiu Gatlan (BleepingComputer) sobre F5 (contexto)
|}


**Estado**: Activo. La base de datos completa está a la venta. Condé Nast no ha confirmado públicamente la brecha.
'''Estado''': Activo. La base de datos completa está a la venta. Condé Nast no ha confirmado públicamente la brecha.


== Actor de Amenaza (Atribución) ==
== Actor de Amenaza (Atribución) ==


| Categoría | Descripción |
{| class="wikitable"
|-----------|-------------|
! Categoría !! Descripción
| **Nombre del Actor** | "Lovely" (presunto, según el vendedor) |
|-
| **Vínculo Gubernamental** | No establecido |
| '''Nombre del Actor''' || "Lovely" (presunto, según el vendedor)
| **Tipo de Actor** | Ciberdelincuencia / Venta de datos / Posible ransomware |
|-
| **Sofisticación** | MEDIA-ALTA. Utilizan: |
| '''Vínculo Gubernamental''' || No establecido
| | • Explotación de vulnerabilidades IDOR y broken access control |
|-
| | • Enumeración de IDs secuenciales para extraer datos masivamente |
| '''Tipo de Actor''' || Ciberdelincuencia / Venta de datos / Posible ransomware
| | • Capacidad de retener datos durante meses antes de venderlos |
|-
| | • Uso de foros de ciberdelincuencia en ruso con depósito en garantía |
| '''Sofisticación''' || MEDIA-ALTA. Utilizan:
| **Motivación** | Financiera (venta de datos a compradores de phishing, fraude, etc.) |
* Explotación de vulnerabilidades IDOR y broken access control
| **Objetivo** | 32,8 millones de registros de usuarios de Condé Nast |
* Enumeración de IDs secuenciales para extraer datos masivamente
| **Precio de venta** | $15.000 USD (menos de $0,0005 por registro) |
* Capacidad de retener datos durante meses antes de venderlos
* Uso de foros de ciberdelincuencia en ruso con depósito en garantía
|-
| '''Motivación''' || Financiera (venta de datos a compradores de phishing, fraude, etc.)
|-
| '''Objetivo''' || 32,8 millones de registros de usuarios de Condé Nast
|-
| '''Precio de venta''' || $15.000 USD (menos de $0,0005 por registro)
|}


== Resumen Ejecutivo ==
== Resumen Ejecutivo ==
Línea 51: Línea 71:
=== Hechos confirmados ===
=== Hechos confirmados ===


| Hecho | Estado |
{| class="wikitable"
|-------|--------|
! Hecho !! Estado
| Datos de 32,8 millones de usuarios a la venta | ✅ Confirmado (análisis de muestra) |
|-
| Muestra de 5.000 filas verificada como auténtica | ✅ Confirmado (Ransomnews) |
| Datos de 32,8 millones de usuarios a la venta || ✅ Confirmado (análisis de muestra)
| Subconjunto de WIRED (2,3M registros) filtrado en diciembre 2025 | ✅ Confirmado (BleepingComputer) |
|-
| Vendedor afirma ser "Lovely" | ⚠️ No verificado independientemente |
| Muestra de 5.000 filas verificada como auténtica || ✅ Confirmado (Ransomnews)
| Condé Nast ha confirmado la brecha | ❌ No (silencio corporativo) |
|-
| Contraseñas o datos de pago expuestos | ❌ No (según el esquema de la muestra) |
| Subconjunto de WIRED (2,3M registros) filtrado en diciembre 2025 || ✅ Confirmado (BleepingComputer)
| Sistema de cuentas de Condé Nast comprometido | ✅ Probable (según evidencia de fechas) |
|-
| Vendedor afirma ser "Lovely" || ⚠️ No verificado independientemente
|-
| Condé Nast ha confirmado la brecha || ❌ No (silencio corporativo)
|-
| Contraseñas o datos de pago expuestos || ❌ No (según el esquema de la muestra)
|-
| Sistema de cuentas de Condé Nast comprometido || ✅ Probable (según evidencia de fechas)
|}


=== Línea de tiempo del incidente (UTC) ===
=== Línea de tiempo del incidente (UTC) ===


| Fecha y hora | Evento |
{| class="wikitable"
|--------------|--------|
! Fecha y hora !! Evento
| Septiembre 2025 | Comienza la extracción de datos (cuentas nuevas aparecen parcialmente) |
|-
| 8-9 septiembre 2025 | Último registro en el archivo de WIRED (fecha de corte) |
| Septiembre 2025 || Comienza la extracción de datos (cuentas nuevas aparecen parcialmente)
| 23 octubre 2025 | Último registro en la muestra (fin de la extracción) |
|-
| 22 noviembre 2025 | "Lovely" contacta a DataBreaches.net como "Dissent Doe" |
| 8-9 septiembre 2025 || Último registro en el archivo de WIRED (fecha de corte)
| 20 diciembre 2025 | Filtración pública del archivo de WIRED (2.366.576 registros) |
|-
| 7 septiembre 2026 | Base de datos completa a la venta en foro ruso ($15.000) |
| 23 octubre 2025 || Último registro en la muestra (fin de la extracción)
| 7 septiembre 2026 | Ransomnews publica análisis de verificación |
|-
| 7 septiembre 2026 | Security Affairs publica artículo de Pierluigi Paganini |
| 22 noviembre 2025 || "Lovely" contacta a DataBreaches.net como "Dissent Doe"
|-
| 20 diciembre 2025 || Filtración pública del archivo de WIRED (2.366.576 registros)
|-
| 7 septiembre 2026 || Base de datos completa a la venta en foro ruso ($15.000)
|-
| 7 septiembre 2026 || Ransomnews publica análisis de verificación
|-
| 7 septiembre 2026 || Security Affairs publica artículo de Pierluigi Paganini
|}


=== Declaración oficial de Condé Nast ===
=== Declaración oficial de Condé Nast ===
Línea 82: Línea 119:
=== Mecanismo técnico del ataque ===
=== Mecanismo técnico del ataque ===


| Fase | Descripción |
{| class="wikitable"
|------|-------------|
! Fase !! Descripción
| 1. Reconocimiento | Identificación de endpoints de API de Condé Nast con IDs secuenciales predecibles |
|-
| 2. Explotación IDOR | Iteración a través de IDs de cuenta para acceder a perfiles de otros usuarios |
| 1. Reconocimiento || Identificación de endpoints de API de Condé Nast con IDs secuenciales predecibles
| 3. Extracción masiva | Descarga automatizada de registros de usuarios a gran escala |
|-
| 4. Almacenamiento | Retención de los datos durante meses (septiembre-octubre 2025) |
| 2. Explotación IDOR || Iteración a través de IDs de cuenta para acceder a perfiles de otros usuarios
| 5. Filtración selectiva | Publicación de un subconjunto (WIRED) para demostrar autenticidad |
|-
| 6. Venta privada | Venta de la base de datos completa en foro de ciberdelincuencia |
| 3. Extracción masiva || Descarga automatizada de registros de usuarios a gran escala
|-
| 4. Almacenamiento || Retención de los datos durante meses (septiembre-octubre 2025)
|-
| 5. Filtración selectiva || Publicación de un subconjunto (WIRED) para demostrar autenticidad
|-
| 6. Venta privada || Venta de la base de datos completa en foro de ciberdelincuencia
|}


=== Por qué fue posible ===
=== Por qué fue posible ===


| Factor | Explicación |
{| class="wikitable"
|--------|-------------|
! Factor !! Explicación
| IDs secuenciales predecibles | Los identificadores de cuenta permitían enumeración masiva |
|-
| Falta de autorización a nivel de objeto | El backend no verificaba si el solicitante tenía permiso para acceder a cada perfil |
| IDs secuenciales predecibles || Los identificadores de cuenta permitían enumeración masiva
| Controles de acceso rotos | Endpoints de gestión de cuentas sin autenticación suficiente |
|-
| Falta de rate limiting | No había límites en el número de consultas a la API |
| Falta de autorización a nivel de objeto || El backend no verificaba si el solicitante tenía permiso para acceder a cada perfil
| Sin detección de scraping | No se identificó la extracción masiva de datos |
|-
| Controles de acceso rotos || Endpoints de gestión de cuentas sin autenticación suficiente
|-
| Falta de rate limiting || No había límites en el número de consultas a la API
|-
| Sin detección de scraping || No se identificó la extracción masiva de datos
|}


=== Lo que Condé Nast NO ha explicado ===
=== Lo que Condé Nast NO ha explicado ===
Línea 111: Línea 161:
== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==


| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
{| class="wikitable"
|------------------------|----------------------|------------------------------|
! Táctica (MITRE ATT&CK) !! Técnica / Subtécnica !! Descripción / Implementación
| Initial Access (TA0001) | Exploit Public-Facing Application (T1190) | Explotación de vulnerabilidades IDOR en APIs de cuentas |
|-
| Initial Access (TA0001) | Valid Accounts (T1078) | Uso de cuentas existentes para acceso no autorizado |
| Initial Access (TA0001) || Exploit Public-Facing Application (T1190) || Explotación de vulnerabilidades IDOR en APIs de cuentas
| Discovery (TA0007) | Account Discovery (T1087) | Enumeración de IDs de cuenta para identificar objetivos |
|-
| Collection (TA0009) | Data from Information Repositories (T1213) | Extracción de datos de usuarios desde APIs |
| Initial Access (TA0001) || Valid Accounts (T1078) || Uso de cuentas existentes para acceso no autorizado
| Collection (TA0009) | Data from Local System (T1005) | Almacenamiento de datos extraídos en sistemas locales |
|-
| Exfiltration (TA0010) | Exfiltration Over Web Service (T1567) | Transferencia de datos a servidores externos |
| Discovery (TA0007) || Account Discovery (T1087) || Enumeración de IDs de cuenta para identificar objetivos
| Impact (TA0040) | Data Manipulation (T1565) | Potencial uso de datos para phishing y fraude |
|-
| Collection (TA0009) || Data from Information Repositories (T1213) || Extracción de datos de usuarios desde APIs
|-
| Collection (TA0009) || Data from Local System (T1005) || Almacenamiento de datos extraídos en sistemas locales
|-
| Exfiltration (TA0010) || Exfiltration Over Web Service (T1567) || Transferencia de datos a servidores externos
|-
| Impact (TA0040) || Data Manipulation (T1565) || Potencial uso de datos para phishing y fraude
|}


== Flujo de Ataque (Cyber Kill Chain) ==
== Flujo de Ataque (Cyber Kill Chain) ==


| Fase | Descripción |
{| class="wikitable"
|------|-------------|
! Fase !! Descripción
| 1. Reconocimiento | Identificación de endpoints de API de Condé Nast y estructura de IDs |
|-
| 2. Armamento | Desarrollo de scripts de enumeración y extracción automatizada |
| 1. Reconocimiento || Identificación de endpoints de API de Condé Nast y estructura de IDs
| 3. Entrega | Acceso a las APIs a través de peticiones HTTP directas |
|-
| 4. Explotación | Iteración de IDs para recuperar registros de usuarios no autorizados |
| 2. Armamento || Desarrollo de scripts de enumeración y extracción automatizada
| 5. Instalación | Almacenamiento de los datos extraídos en servidores controlados |
|-
| 6. Comando y Control | No aplica (ataque de extracción directa, no persistente) |
| 3. Entrega || Acceso a las APIs a través de peticiones HTTP directas
| 7. Acción sobre Objetivos | - Filtración de subconjunto WIRED (diciembre 2025) |
|-
| | - Venta de base de datos completa (septiembre 2026) |
| 4. Explotación || Iteración de IDs para recuperar registros de usuarios no autorizados
| | - Potencial uso para phishing, fraude y correlación de datos |
|-
| 5. Instalación || Almacenamiento de los datos extraídos en servidores controlados
|-
| 6. Comando y Control || No aplica (ataque de extracción directa, no persistente)
|-
| 7. Acción sobre Objetivos || Filtración de subconjunto WIRED (diciembre 2025); Venta de base de datos completa (septiembre 2026); Potencial uso para phishing, fraude y correlación de datos
|}


== Infraestructura Utilizada ==
== Infraestructura Utilizada ==


| Tipo | Característica | Propósito |
{| class="wikitable"
|------|----------------|-----------|
! Tipo !! Característica !! Propósito
| Scripts de enumeración | Automatización de peticiones HTTP | Extracción masiva de datos |
|-
| Proxies / VPN | Múltiples IPs para evadir detección | Distribución de consultas |
| Scripts de enumeración || Automatización de peticiones HTTP || Extracción masiva de datos
| Servidores de almacenamiento | Infraestructura para retener datos | Almacenamiento de 32,8M de registros |
|-
| Foro de ciberdelincuencia | Foro ruso con depósito en garantía | Venta de la base de datos |
| Proxies / VPN || Múltiples IPs para evadir detección || Distribución de consultas
| Servicios de correo | Apple Relay, iCloud, Outlook, etc. | No aplica (datos de víctimas) |
|-
| Servidores de almacenamiento || Infraestructura para retener datos || Almacenamiento de 32,8M de registros
|-
| Foro de ciberdelincuencia || Foro ruso con depósito en garantía || Venta de la base de datos
|}


== Detalle Técnico - Vulnerabilidad IDOR y Broken Access Control ==
== Detalle Técnico - Vulnerabilidad IDOR y Broken Access Control ==
Línea 153: Línea 221:
=== Vulnerabilidad explotada ===
=== Vulnerabilidad explotada ===


| Componente | Problema |
{| class="wikitable"
|------------|----------|
! Componente !! Problema
| IDs secuenciales | Los IDs de cuenta eran predecibles (1, 2, 3, ...) |
|-
| Falta de autorización | El backend no verificaba si el solicitante tenía permiso |
| IDs secuenciales || Los IDs de cuenta eran predecibles (1, 2, 3, ...)
| Endpoints sin autenticación | Algunos endpoints permitían acceso sin autenticación |
|-
| Sin rate limiting | No había límites en el número de consultas |
| Falta de autorización || El backend no verificaba si el solicitante tenía permiso
| Sin detección de scraping | No se identificó la extracción masiva |
|-
| Endpoints sin autenticación || Algunos endpoints permitían acceso sin autenticación
|-
| Sin rate limiting || No había límites en el número de consultas
|-
| Sin detección de scraping || No se identificó la extracción masiva
|}


=== Cálculo de factibilidad ===
=== Cálculo de factibilidad ===


| Parámetro | Valor |
{| class="wikitable"
|-----------|-------|
! Parámetro !! Valor
| IDs de cuenta | Secuenciales y predecibles |
|-
| Velocidad de extracción | Miles de registros por hora |
| IDs de cuenta || Secuenciales y predecibles
| Tiempo para extraer 32,8M | Días o semanas (según la muestra) |
|-
| Detección | Nula (no había monitoreo de scraping) |
| Velocidad de extracción || Miles de registros por hora
| Probabilidad de éxito | ALTA (sin controles de acceso efectivos) |
|-
| Tiempo para extraer 32,8M || Días o semanas (según la muestra)
|-
| Detección || Nula (no había monitoreo de scraping)
|-
| Probabilidad de éxito || ALTA (sin controles de acceso efectivos)
|}


=== Nota sobre el impacto ===
=== Nota sobre el impacto ===
Línea 175: Línea 255:
Los atacantes no necesitaban explotar vulnerabilidades complejas. La combinación de IDs secuenciales y falta de autorización a nivel de objeto permitió la extracción masiva de datos sin ser detectados durante semanas.
Los atacantes no necesitaban explotar vulnerabilidades complejas. La combinación de IDs secuenciales y falta de autorización a nivel de objeto permitió la extracción masiva de datos sin ser detectados durante semanas.


== Bóvedas Robadas - Protección y Riesgos ==
== Datos Expuestos ==
 
''Esta sección no aplica a este incidente, ya que no se robaron bóvedas de contraseñas. Sin embargo, se incluye para mantener la estructura similar a la página de Dashlane.''
 
'''Datos expuestos:'''


| Campo | Porcentaje de registros |
{| class="wikitable"
|-------|------------------------|
! Campo !! Porcentaje de registros
| Dirección de correo electrónico | 100% |
|-
| Nombre y apellido | 31,6% |
| Dirección de correo electrónico || 100%
| Dirección postal | 22,3% |
|-
| Género | 17,5% |
| Nombre y apellido || 31,6%
| Fecha de nacimiento | 12,6% |
|-
| Número de teléfono | 2,9% |
| Dirección postal || 22,3%
|-
| Género || 17,5%
|-
| Fecha de nacimiento || 12,6%
|-
| Número de teléfono || 2,9%
|}


'''Datos NO expuestos:'''
'''Datos NO expuestos:'''
Línea 198: Línea 281:
== Víctimas y Sectores Afectados ==
== Víctimas y Sectores Afectados ==


| Categoría | Datos |
{| class="wikitable"
|-----------|-------|
! Categoría !! Datos
| Número de registros | 32.815.767 |
|-
| Número de afectados | 32,8 millones de usuarios |
| Número de registros || 32.815.767
| Publicaciones afectadas | Vogue, The New Yorker, GQ, Glamour, WIRED, Vanity Fair, Allure, Bon Appétit, y otras |
|-
| Tipo de clientes | Suscriptores de revistas, usuarios registrados |
| Número de afectados || 32,8 millones de usuarios
| Sectores potencialmente afectados | Medios de comunicación, publicación, consumo |
|-
| Geografía | Global (con mayoría en EE.UU., 82% de los registros) |
| Publicaciones afectadas || Vogue, The New Yorker, GQ, Glamour, WIRED, Vanity Fair, Allure, Bon Appétit, y otras
| Subconjunto de WIRED | 2.366.576 registros (filtrados en diciembre 2025) |
|-
| Registros no-WIRED | 30.455.594 (no públicos hasta septiembre 2026) |
| Tipo de clientes || Suscriptores de revistas, usuarios registrados
|-
| Sectores potencialmente afectados || Medios de comunicación, publicación, consumo
|-
| Geografía || Global (con mayoría en EE.UU., 82% de los registros)
|-
| Subconjunto de WIRED || 2.366.576 registros (filtrados en diciembre 2025)
|-
| Registros no-WIRED || 30.455.594 (no públicos hasta septiembre 2026)
|}


=== Notificación a clientes ===
=== Notificación a clientes ===
Línea 217: Línea 309:
== Impacto y Riesgo ==
== Impacto y Riesgo ==


| Categoría | Nivel | Descripción |
{| class="wikitable"
|-----------|-------|-------------|
! Categoría !! Nivel !! Descripción
| Impacto inmediato | MEDIO-ALTO | 32,8M de registros a la venta |
|-
| Riesgo de phishing | ALTO | Datos suficientes para correos dirigidos convincentes |
| Impacto inmediato || MEDIO-ALTO || 32,8M de registros a la venta
| Riesgo de fraude postal | MEDIO | 22,3% de registros con dirección postal |
|-
| Impacto reputacional (Condé Nast) | ALTO | Silencio corporativo y falta de transparencia |
| Riesgo de phishing || ALTO || Datos suficientes para correos dirigidos convincentes
| Riesgo sistémico | MEDIO | Base de datos de usuarios de medios de comunicación |
|-
| Probabilidad de reincidencia | MEDIA | Si no se corrigen las vulnerabilidades IDOR |
| Riesgo de fraude postal || MEDIO || 22,3% de registros con dirección postal
|-
| Impacto reputacional (Condé Nast) || ALTO || Silencio corporativo y falta de transparencia
|-
| Riesgo sistémico || MEDIO || Base de datos de usuarios de medios de comunicación
|-
| Probabilidad de reincidencia || MEDIA || Si no se corrigen las vulnerabilidades IDOR
|}


=== Comparativa con otros incidentes de filtración de datos ===
=== Comparativa con otros incidentes de filtración de datos ===


| Incidente | Año | Impacto | Lección clave |
{| class="wikitable"
|-----------|-----|---------|---------------|
! Incidente !! Año !! Impacto !! Lección clave
| LastPass | 2022 | Bóvedas encriptadas de 25M+ usuarios robadas | Las bóvedas offline pueden ser descifradas con el tiempo |
|-
| Passwordstate | 2021 | Actualización de software comprometida (malware) | Los mecanismos de actualización son vectores críticos |
| LastPass || 2022 || Bóvedas encriptadas de 25M+ usuarios robadas || Las bóvedas offline pueden ser descifradas con el tiempo
| Dashlane | 2026 | ~20 bóvedas robadas por fuerza bruta a 2FA | El 2FA no es invencible si no hay rate limiting |
|-
| '''Condé Nast''' | '''2025-2026''' | '''32,8M de registros de usuarios a la venta''' | '''Las vulnerabilidades IDOR permiten extracción masiva sin detección''' |
| Passwordstate || 2021 || Actualización de software comprometida (malware) || Los mecanismos de actualización son vectores críticos
|-
| Dashlane || 2026 || ~20 bóvedas robadas por fuerza bruta a 2FA || El 2FA no es invencible si no hay rate limiting
|-
| '''Condé Nast''' || '''2025-2026''' || '''32,8M de registros de usuarios a la venta''' || '''Las vulnerabilidades IDOR permiten extracción masiva sin detección'''
|}


=== Lecciones del incidente LastPass (2022) ===
=== Lecciones del incidente LastPass (2022) ===
Línea 248: Línea 352:
=== Para usuarios afectados (los 32,8M) ===
=== Para usuarios afectados (los 32,8M) ===


| Acción | Urgencia | Descripción |
{| class="wikitable"
|--------|----------|-------------|
! Acción !! Urgencia !! Descripción
| Desconfiar de correos de suscripción | ALTA | Avisos de renovación, problemas de facturación, ofertas de regalo |
|-
| Acceder directamente a los sitios web | ALTA | En lugar de usar enlaces de correos electrónicos |
| Desconfiar de correos de suscripción || ALTA || Avisos de renovación, problemas de facturación, ofertas de regalo
| Tratar el correo físico con sospecha | MEDIA | Cartas fraudulentas que mencionan la revista |
|-
| Verificar la dirección de correo | MEDIA | Si se reutiliza en otros servicios, esa reutilización es la exposición |
| Acceder directamente a los sitios web || ALTA || En lugar de usar enlaces de correos electrónicos
| Usar gestores de contraseñas y MFA | MEDIA | Aunque no se expusieron contraseñas, es buena práctica |
|-
| Monitorear intentos de phishing | ALTA | Estar atento a mensajes inesperados |
| Tratar el correo físico con sospecha || MEDIA || Cartas fraudulentas que mencionan la revista
|-
| Verificar la dirección de correo || MEDIA || Si se reutiliza en otros servicios, esa reutilización es la exposición
|-
| Usar gestores de contraseñas y MFA || MEDIA || Aunque no se expusieron contraseñas, es buena práctica
|-
| Monitorear intentos de phishing || ALTA || Estar atento a mensajes inesperados
|}


=== Para organizaciones (medidas post-incidente) ===
=== Para organizaciones (medidas post-incidente) ===


| Medida | Estado según Condé Nast |
{| class="wikitable"
|--------|------------------------|
! Medida !! Estado según Condé Nast
| Auditoría de APIs para IDOR | No especificado |
|-
| Implementación de autorización a nivel de objeto | No especificado |
| Auditoría de APIs para IDOR || No especificado
| Rate limiting en APIs de cuentas | No especificado |
|-
| Reemplazo de IDs secuenciales | No especificado |
| Implementación de autorización a nivel de objeto || No especificado
| Monitoreo de scraping | No especificado |
|-
| Notificación a afectados fuera de WIRED | Pendiente |
| Rate limiting en APIs de cuentas || No especificado
| Transparencia total | Pendiente (silencio corporativo) |
|-
| Reemplazo de IDs secuenciales || No especificado
|-
| Monitoreo de scraping || No especificado
|-
| Notificación a afectados fuera de WIRED || Pendiente
|-
| Transparencia total || Pendiente (silencio corporativo)
|}


=== Para la industria de medios y publicación ===
=== Para la industria de medios y publicación ===
Línea 280: Línea 399:
=== Para usuarios en general (no solo Condé Nast) ===
=== Para usuarios en general (no solo Condé Nast) ===


| Recomendación | Por qué |
{| class="wikitable"
|---------------|---------|
! Recomendación !! Por qué
| Usar frases de paso largas | 20+ caracteres son más seguras que contraseñas cortas |
|-
| Habilitar 2FA en todas las cuentas críticas | Email, banca, criptomonedas, gestor de contraseñas |
| Usar frases de paso largas || 20+ caracteres son más seguras que contraseñas cortas
| Preferir claves de seguridad físicas | YubiKey, Google Titan, passkeys |
|-
| No reutilizar contraseñas | Una brecha en un sitio no compromete otros |
| Habilitar 2FA en todas las cuentas críticas || Email, banca, criptomonedas, gestor de contraseñas
| Monitorear brechas de datos | Usar servicios como Have I Been Pwned |
|-
| Preferir claves de seguridad físicas || YubiKey, Google Titan, passkeys
|-
| No reutilizar contraseñas || Una brecha en un sitio no compromete otros
|-
| Monitorear brechas de datos || Usar servicios como Have I Been Pwned
|}


== Herramientas de Detección ==
== Herramientas de Detección ==
Línea 292: Línea 417:
=== Para Condé Nast (post-incidente) ===
=== Para Condé Nast (post-incidente) ===


| Herramienta/Técnica | Propósito |
{| class="wikitable"
|---------------------|-----------|
! Herramienta/Técnica !! Propósito
| Rate limiting | Limitar consultas a APIs por IP/cuenta |
|-
| Detección de scraping | Identificar patrones de enumeración masiva |
| Rate limiting || Limitar consultas a APIs por IP/cuenta
| Alertas en tiempo real | Notificar a usuarios y SOC sobre actividad anómala |
|-
| WAF con reglas específicas | Bloquear tráfico automatizado sospechoso |
| Detección de scraping || Identificar patrones de enumeración masiva
| Auditoría de APIs | Revisar endpoints para IDOR y broken access control |
|-
| Alertas en tiempo real || Notificar a usuarios y SOC sobre actividad anómala
|-
| WAF con reglas específicas || Bloquear tráfico automatizado sospechoso
|-
| Auditoría de APIs || Revisar endpoints para IDOR y broken access control
|}


=== Para usuarios (autodetección) ===
=== Para usuarios (autodetección) ===


| Indicador | Qué buscar |
{| class="wikitable"
|-----------|------------|
! Indicador !! Qué buscar
| Correos de suscripción inesperados | Avisos de renovación, facturación, regalos |
|-
| Correo postal fraudulento | Cartas que mencionan la revista |
| Correos de suscripción inesperados || Avisos de renovación, facturación, regalos
| Actividad de inicio de sesión inusual | Horarios o ubicaciones anormales |
|-
| Intentos de phishing | Mensajes que solicitan verificación de cuenta |
| Correo postal fraudulento || Cartas que mencionan la revista
|-
| Actividad de inicio de sesión inusual || Horarios o ubicaciones anormales
|-
| Intentos de phishing || Mensajes que solicitan verificación de cuenta
|}


=== Servicios de monitoreo recomendados ===
=== Servicios de monitoreo recomendados ===


| Servicio | Propósito |
{| class="wikitable"
|----------|-----------|
! Servicio !! Propósito
| Have I Been Pwned (HIBP) | Verificar si el correo apareció en brechas de datos |
|-
| Monitor de crédito | Detectar actividad financiera no autorizada |
| Have I Been Pwned (HIBP) || Verificar si el correo apareció en brechas de datos
| Alertas de inicio de sesión | Configurar en cuentas críticas (email, banca, etc.) |
|-
| Monitor de crédito || Detectar actividad financiera no autorizada
|-
| Alertas de inicio de sesión || Configurar en cuentas críticas (email, banca, etc.)
|}


== Antecedentes: Incidentes en Gestores de Contraseñas y Medios ==
== Antecedentes: Incidentes en Gestores de Contraseñas y Medios ==


| Fecha | Empresa | Incidente | Impacto |
{| class="wikitable"
|-------|---------|-----------|---------|
! Fecha !! Empresa !! Incidente !! Impacto
| 2021 | Click Studios (Passwordstate) | Actualización de software comprometida con malware | Clientes afectados tuvieron que restablecer todas sus credenciales |
|-
| 2022 | LastPass | Brecha masiva: bóvedas de 25M+ usuarios robadas | Descifrado de bóvedas con contraseñas débiles; robo de criptomonedas reportado |
| 2021 || Click Studios (Passwordstate) || Actualización de software comprometida con malware || Clientes afectados tuvieron que restablecer todas sus credenciales
| 2026 | Dashlane | Fuerza bruta a 2FA, ~20 bóvedas robadas | Riesgo de descifrado para clientes con contraseñas maestras débiles |
|-
| '''2025-2026''' | '''Condé Nast''' | '''Filtración de 32,8M de registros de usuarios''' | '''Datos a la venta por $15.000; riesgo de phishing dirigido''' |
| 2022 || LastPass || Brecha masiva: bóvedas de 25M+ usuarios robadas || Descifrado de bóvedas con contraseñas débiles; robo de criptomonedas reportado
|-
| 2026 || Dashlane || Fuerza bruta a 2FA, ~20 bóvedas robadas || Riesgo de descifrado para clientes con contraseñas maestras débiles
|-
| '''2025-2026''' || '''Condé Nast''' || '''Filtración de 32,8M de registros de usuarios''' || '''Datos a la venta por $15.000; riesgo de phishing dirigido'''
|}


=== Patrón común ===
=== Patrón común ===
Línea 355: Línea 500:
== Historial de Revisiones ==
== Historial de Revisiones ==


| Fecha | Versión | Autor | Cambios Realizados |
{| class="wikitable"
|-------|---------|-------|-------------------|
! Fecha !! Versión !! Autor !! Cambios Realizados
| 2026-09-10 | 1.0 | Fernando Vargas Hincapié | Creación inicial basada en el informe de Ransomnews, Security Affairs y BleepingComputer |
|-
| 2026-09-10 || 1.0 || Fernando Vargas Hincapié || Creación inicial basada en el informe de Ransomnews, Security Affairs y BleepingComputer
|}


== Indicadores de Compromiso (IOCs) ==
== Indicadores de Compromiso (IOCs) ==
Línea 363: Línea 510:
=== Para usuarios de Condé Nast ===
=== Para usuarios de Condé Nast ===


| Tipo de indicador | Qué buscar | Acción |
{| class="wikitable"
|-------------------|------------|--------|
! Tipo de indicador !! Qué buscar !! Acción
| Correos de suscripción inesperados | Avisos de renovación, facturación, regalos | Acceder directamente al sitio web |
|-
| Correo postal fraudulento | Cartas que mencionan la revista | Desconfiar y verificar |
| Correos de suscripción inesperados || Avisos de renovación, facturación, regalos || Acceder directamente al sitio web
| Intentos de phishing | Mensajes que solicitan verificación de cuenta | No hacer clic en enlaces |
|-
| Reutilización de correo electrónico | Si el correo expuesto se usa en otros servicios | Cambiar contraseñas en otros servicios |
| Correo postal fraudulento || Cartas que mencionan la revista || Desconfiar y verificar
|-
| Intentos de phishing || Mensajes que solicitan verificación de cuenta || No hacer clic en enlaces
|-
| Reutilización de correo electrónico || Si el correo expuesto se usa en otros servicios || Cambiar contraseñas en otros servicios
|}


=== Para Condé Nast (medidas post-incidente) ===
=== Para Condé Nast (medidas post-incidente) ===


| Indicador de detección | Implementación recomendada |
{| class="wikitable"
|------------------------|---------------------------|
! Indicador de detección !! Implementación recomendada
| Enumeración de IDs secuenciales | Detectar patrones de acceso secuencial → bloquear |
|-
| Scraping de APIs | Detectar múltiples consultas desde la misma IP → bloquear |
| Enumeración de IDs secuenciales || Detectar patrones de acceso secuencial → bloquear
| Acceso a perfiles no autorizados | Implementar autorización a nivel de objeto |
|-
| Velocidad de consultas > 100/minuto | Claramente automatizado → bloquear IP/origen |
| Scraping de APIs || Detectar múltiples consultas desde la misma IP → bloquear
|-
| Acceso a perfiles no autorizados || Implementar autorización a nivel de objeto
|-
| Velocidad de consultas > 100/minuto || Claramente automatizado → bloquear IP/origen
|}


=== Servicios de monitoreo recomendados ===
=== Servicios de monitoreo recomendados ===


| Servicio | Propósito |
{| class="wikitable"
|----------|-----------|
! Servicio !! Propósito
| Have I Been Pwned (HIBP) | Verificar si el correo apareció en brechas de datos |
|-
| Monitor de crédito | Detectar actividad financiera no autorizada |
| Have I Been Pwned (HIBP) || Verificar si el correo apareció en brechas de datos
| Alertas de inicio de sesión | Configurar en cuentas críticas (email, banca, etc.) |
|-
| Monitor de crédito || Detectar actividad financiera no autorizada
|-
| Alertas de inicio de sesión || Configurar en cuentas críticas (email, banca, etc.)
|}


== Preguntas sin respuesta (según informe de Ransomnews) ==
== Preguntas sin respuesta (según informe de Ransomnews) ==


| Pregunta | Estado |
{| class="wikitable"
|----------|--------|
! Pregunta !! Estado
| ¿Cómo obtuvieron los atacantes acceso inicial al sistema de cuentas? | No respondido |
|-
| ¿Por qué las vulnerabilidades IDOR no fueron detectadas antes? | No respondido |
| ¿Cómo obtuvieron los atacantes acceso inicial al sistema de cuentas? || No respondido
| ¿Qué medidas específicas tomó Condé Nast para mitigar futuros incidentes? | No especificado |
|-
| ¿Los clientes afectados fuera de WIRED han sido notificados? | No claro |
| ¿Por qué las vulnerabilidades IDOR no fueron detectadas antes? || No respondido
| ¿Los atacantes contactaron a Condé Nast para exigir rescate? | No respondido |
|-
| ¿Condé Nast sabe quién está detrás del ataque? | No respondido |
| ¿Qué medidas específicas tomó Condé Nast para mitigar futuros incidentes? || No especificado
| ¿Se ha confirmado que el vendedor es "Lovely"? | No verificado independientemente |
|-
| ¿Los clientes afectados fuera de WIRED han sido notificados? || No claro
|-
| ¿Los atacantes contactaron a Condé Nast para exigir rescate? || No respondido
|-
| ¿Condé Nast sabe quién está detrás del ataque? || No respondido
|-
| ¿Se ha confirmado que el vendedor es "Lovely"? || No verificado independientemente
|}


== Etiquetas / Categorías ==
== Etiquetas / Categorías ==
Fernando.VH
2391

ediciones

Obtenido de «https://darfe.es/ciberwiki/index.php?title=Especial:MobileDiff/3395»