Filtración de Condé Nast

La Filtración de Condé Nast es un incidente de seguridad que involucra la exposición y venta de datos personales de aproximadamente 32,8 millones de usuarios de las publicaciones de Condé Nast, incluyendo Vogue, The New Yorker, GQ, Glamour, WIRED y Vanity Fair, entre otras.

El incidente salió a la luz pública en diciembre de 2025, cuando un actor de amenazas conocido como "Lovely" filtró un subconjunto de datos correspondientes a WIRED (2,3 millones de registros). Posteriormente, en septiembre de 2026, se puso a la venta la base de datos completa (32,8 millones de registros) en un foro de ciberdelincuencia en ruso por 15.000 dólares, revelando que la filtración original era mucho más grande de lo que se creía.

Cronología del incidente

Ataque y extracción de datos (Septiembre - Octubre 2025)

• Según el análisis de las fechas de creación de cuentas en la muestra, los datos fueron extraídos entre septiembre y finales de octubre de 2025.
• La extracción duró varias semanas, capturando nuevas cuentas a medida que se creaban, y se detuvo en los últimos días de octubre de 2025.
• Las cuentas en la muestra fueron registradas entre el 9 de febrero de 1999 y el 23 de octubre de 2025, lo que refleja la antigüedad de la base de datos de usuarios.

Filtración inicial de WIRED (Diciembre 2025)

• El 20 de diciembre de 2025, el actor "Lovely" publicó un dataset de 2.366.576 registros de suscriptores de WIRED en foros de hacking como BreachForums y Breach Stars.
• Antes de la filtración, "Lovely" contactó a DataBreaches.net en noviembre de 2025, haciéndose pasar por un investigador llamado "Dissent Doe", afirmando haber encontrado seis vulnerabilidades en el sistema de cuentas de Condé Nast.
• Ante la falta de respuesta de Condé Nast, el actor liberó los datos de WIRED como un "regalo de Navidad" (Christmas Lump of Coal).
• El conjunto de datos incluía aproximadamente:

   * 2,3 millones de direcciones de correo electrónico.
   * 285.936 nombres de suscriptores.
   * 102.479 direcciones físicas.
   * 32.426 números de teléfono.

• Los registros estaban en formato JSON e incluían IDs de usuario, fechas de creación (2011-2022) y marcas de tiempo de actividad hasta el 8 de septiembre de 2025.

Venta de la base de datos completa (Septiembre 2026)

• El 7 de septiembre de 2026, una cuenta anónima en un foro de hackers en ruso puso a la venta una base de datos con 32.815.767 registros de usuarios de Condé Nast por 15.000 dólares.
• El vendedor afirmaba ser el responsable de la filtración de WIRED y ofrecía una versión sin los registros de WIRED que contenía 30.455.594 líneas.
• La aritmética del vendedor es verificable: 32.815.767 - 30.455.594 = 2.360.173 registros de WIRED, una cifra que coincide con el archivo filtrado de WIRED (2.366.576 registros) con una precisión del 0,27%.

Datos expuestos

La base de datos incluye 14 campos por registro, aunque no todos los registros contienen toda la información:

| Campo | Porcentaje de registros | |-------|------------------------| | Dirección de correo electrónico | 100% | | Nombre y apellido | 31,6% | | Dirección postal | 22,3% | | Género | 17,5% | | Fecha de nacimiento | 12,6% | | Número de teléfono | 2,9% |

Datos NO expuestos

• No contiene contraseñas ni hashes de contraseñas.
• No contiene nombres de usuario para mostrar.
• No contiene datos de pago (tarjetas de crédito, etc.).

Análisis de la muestra

Ransomnews analizó una muestra de 5.000 filas del vendedor y concluyó que los datos son auténticos basándose en varias pruebas de coherencia interna:

• Tasas de llenado de campos: Coinciden con los totales del vendedor con una diferencia de solo 1,2 puntos porcentuales.
• Nombres y correos electrónicos: El 61,9% de las filas con nombre completo incluyen ese nombre o sus iniciales en la dirección de correo electrónico. Al mezclar los nombres aleatoriamente, la tasa de coincidencia cae al 0,3%.
• Fechas de proveedores de correo: Ninguna de las 227 cuentas de Apple Relay, iCloud, Outlook, Me.com o Proton fue creada antes del lanzamiento de su proveedor.
• Geografía: El 96,4% de los códigos postales de EE.UU. coinciden con el estado indicado, y el 93,5% con la ciudad indicada.
• Errores humanos: La muestra contiene errores típicos de formularios web rellenados por personas a lo largo de décadas (ej: "Seleccione su estado" como valor literal, índices de menús desplegables, nombres en minúsculas, fechas de nacimiento el 1 de enero).

Distribución demográfica

• El 77% de los registros con género declarado son femeninos (633 F, 186 M), lo que se ajusta a publicaciones como Vogue, Glamour y Allure, y no a WIRED.
• Gmail representa el 45% de las direcciones, Yahoo el 13%, Hotmail el 8%, AOL el 4%, con una larga cola de 772 dominios.

Vector de ataque

Según los análisis de seguridad, el incidente se produjo por:

Vulnerabilidades IDOR (Insecure Direct Object Reference)

• El sistema de cuentas de Condé Nast utilizaba identificadores secuenciales predecibles para los perfiles de usuario.
• Los atacantes podían iterar a través de estos IDs y consultar las APIs subyacentes para recuperar registros de suscriptores a gran escala.
• El backend no verificaba correctamente si el solicitante tenía autorización para acceder a cada perfil.

Controles de acceso rotos (Broken Access Control)

• Ciertos endpoints de gestión de cuentas carecían de suficientes salvaguardas de autenticación y autorización.
• Esto permitía a usuarios no autenticados no solo ver datos sensibles, sino también modificar atributos del perfil, como direcciones de correo electrónico y contraseñas.

Falta de respuesta a la divulgación responsable

• El actor "Lovely" afirmó haber contactado a Condé Nast en múltiples ocasiones para reportar las vulnerabilidades, sin obtener respuesta.
• Esta falta de comunicación llevó a la filtración pública como forma de presión.

Impacto y riesgos

Aunque la base de datos no contiene contraseñas ni datos de pago, la exposición de información personal identificable (PII) plantea riesgos significativos:

• Phishing dirigido: La combinación de nombre real, dirección postal y la revista a la que está suscrito permite crear avisos de renovación, problemas de facturación u ofertas de regalo muy convincentes.
• Fraude postal: Una quinta parte de los registros incluye dirección postal completa, lo que facilita el envío de cartas fraudulentas que parecen legítimas.
• Ingeniería social: Los atacantes pueden usar los datos para manipular a las víctimas con información personalizada.
• Correlación con otras filtraciones: Los datos pueden combinarse con otras brechas para obtener un perfil más completo de la víctima.
• Doxing y swatting: La exposición de direcciones físicas aumenta el riesgo de acoso o ataques dirigidos.

Respuesta de Condé Nast

• Condé Nast no ha confirmado públicamente la filtración ni ha comentado sobre la venta de la base de datos.
• No respondió a las preguntas de SecurityWeek en diciembre de 2025.
• La única información pública provino de Ars Technica (propiedad de Condé Nast), que afirmó que su propio sistema independiente no se vio afectado.
• Los 2,3 millones de registros de WIRED fueron agregados a Have I Been Pwned, pero los otros 30,5 millones de afectados no han recibido notificación equivalente.

Señales de compromiso (IOCs)

| Tipo | Valor | |------|-------| | **Foro** | Foro de ciberdelincuencia en ruso (nombre no especificado) | | **Alias del vendedor** | Lovely (presunto) | | **Precio de venta** | $15.000 USD | | **Registros en venta** | 32.815.767 | | **Registros sin WIRED** | 30.455.594 | | **Registros de WIRED** | ~2.360.173 |

Mitigaciones y recomendaciones

Para usuarios afectados

• Desconfiar de correos de suscripción: Los atacantes pueden usar los datos para enviar avisos de renovación, problemas de facturación u ofertas de regalo convincentes.
• Acceder directamente a los sitios web: En lugar de usar enlaces de correos electrónicos, acceder directamente al sitio web de la editorial a través de una dirección conocida.
• Tratar el correo físico con sospecha: Las cartas fraudulentas que mencionan el título de una revista o una suscripción real no garantizan su autenticidad.
• Verificar la dirección de correo: Si la dirección expuesta se reutiliza en otros servicios, esa reutilización constituye una exposición.
• Usar gestores de contraseñas y MFA: Aunque no se expusieron contraseñas, es buena práctica usar contraseñas únicas y autenticación multifactor.
• Monitorear intentos de phishing: Estar atento a mensajes inesperados sobre renovaciones, problemas de facturación o verificaciones de cuenta.

Para organizaciones

• Auditar y aplicar autorización a nivel de objeto: En todas las APIs de cuentas y perfiles para prevenir vulnerabilidades IDOR.
• Implementar limitación de velocidad y throttling: Para detectar y bloquear actividad de enumeración y scraping a gran escala.
• Reemplazar identificadores secuenciales: Con IDs de objeto no adivinables para reducir la superficie de ataque.
• Requerir MFA: Para inicios de sesión y acciones sensibles de cuenta (cambios de correo, restablecimientos de contraseña).
• Mejorar el monitoreo y logging: Para identificar patrones de acceso anómalos en servicios de identidad.
• Establecer canales claros para divulgación de vulnerabilidades: Para evitar que los investigadores recurran a la filtración pública.

Relación con otros conceptos

• Ciberdelincuentes: El actor "Lovely" es el presunto responsable de la filtración y venta.
• Ingeniería Social: Los datos expuestos facilitan ataques de phishing dirigido.
• Filtración de datos: Incidente de exposición masiva de información personal.
• IDOR: Vulnerabilidad de referencia directa a objetos insegura que permitió el acceso no autorizado.
• Control de acceso: Fallos en los controles de acceso permitieron la extracción masiva de datos.
• GDPR: La filtración podría conllevar sanciones bajo regulaciones de protección de datos.

Véase también

• Ciberdelincuentes
• Ingeniería Social
• Filtración de datos
• IDOR
• Control de acceso
• GDPR
• WIRED
• Condé Nast

---

Esta página forma parte de la Categoría:Familias de malware y