Análisis sobre la notificación de LinkedIn respecto de la fuga de passwords
Análisis sobre la notificación de LinkedIn respecto de la fuga de passwords
Los artículos 64, 65 y 66 de Reglamento de la Ley Federal de Protección de Datos personales en Posesión de los Particulares establecen medidas que hay que tomar posteriores a una vulneración.
“Notificación de vulneraciones de seguridad
Artículo 64. El responsable deberá informar al titular las vulneraciones que afecten de forma significativa sus derechos patrimoniales o morales, en cuanto confirme que ocurrió la vulneración y haya tomado las acciones encaminadas a detonar un proceso de revisión exhaustiva de la magnitud de la afectación, y sin dilación alguna, a fin de que los titulares afectados puedan tomar las medidas correspondientes.”
En particular el 65 habla sobre el contenido mínimo que debe comunicarle el responsable a los titulares en caso de vulneración.
“Información mínima al titular en caso de vulneraciones de seguridad
Artículo 65. El responsable deberá informar al titular al menos lo siguiente:
I. La naturaleza del incidente;
II. Los datos personales comprometidos;
III. Las recomendaciones al titular acerca de las medidas que éste pueda adoptar para proteger sus intereses;
IV. Las acciones correctivas realizadas de forma inmediata, y
V. Los medios donde puede obtener más información al respecto.”
El día de ayer recibí un correo de parte de LinkedIn notificando sobre la vulneración que recientemente ocurrió. Vamos a analizarlo con respecto de los términos establecidos en el reglamento.
[Modificación del 27 de Mayo de 2016: gracias a mi amigo Thalles de Paula que me mandó la notificación en español]
De: LinkedIn Legal <[email protected]>Fecha: 25 de mayo de 2016, 4:31:54 p.m. GMT-5
Para: <XXXXXXXXXXXXXXXXX>
Asunto: Información importante sobre tu cuenta de LinkedIn
Aviso de filtración de datos
Puede que hayas oído recientemente noticias referentes a un problema de seguridad en LinkedIn. Queremos asegurarnos de que cuentas con los hechos de lo sucedido, qué tipo de información resultó afectada y qué pasos estamos dando para protegerte.
Qué sucedió
El 17 de mayo de 2016 llegó a nuestro conocimiento que datos robados de LinkedIn en 2012 se habían publicado en Internet. No fue un fallo de seguridad o acto pirateo nuevo. Tomamos inmediatamente medidas para invalidar las contraseñas de todas las cuentas de LinkedIn que creíamos que podrían estar en peligro. Dichas cuentas se habían creado antes del fallo de seguridad de 2012 y no habían restablecido sus contraseñas desde entonces.
Qué información resultó afectada
Direcciones de correo electrónico de los miembros, contraseñas codificadas (hashed) y números de identificación de miembro de LinkedIn (un código interno que LinkedIn asigna a cada perfil de miembro) de 2012.
Qué medidas estamos tomando
Hemos invalidado las contraseñas de todas las cuentas de LinkedIn creadas antes del fallo de seguridad de 2012 que no habían sido restablecidas desde el incidente. Además, hemos creado herramientas automatizadas para tratar de identificar y bloquear cualquier actividad sospechosa que pudiera afectar a las cuentas de LinkedIn. Estamos asimismo colaborando con las fuerzas del orden.
LinkedIn ha tomado medidas importantes para fortalecer la seguridad de las cuentas desde 2012. Por ejemplo, ahora utilizamos criptografía con sal para almacenar las contraseñas y ofrecemos a los miembros la opción de aplicar la verificación en dos pasos como medida de seguridad adicional.
Qué puedes hacer
Tenemos varios equipos dedicados a asegurarnos de que la información que los miembros proporcionan a LinkedIn esté segura. Al mismo tiempo, siempre sugerimos que nuestros miembros visiten el Centro de seguridad para informarse de cómo habilitar la verificación en dos pasos y crear contraseñas fuertes para que sus cuentas permanezcan lo más seguras posible. Te recomendamos que cambies la contraseña de LinkedIn a menudo y, si empleas la misma contraseña o una parecida en otros sitios web, que establezcas nuevas contraseñas para esas cuentas.
Para más información
Si tienes cualquier pregunta, no dudes en comunicarte con nuestro equipo de Confianza y seguridad: [email protected]. Para más información, visita nuestro blog oficial.
You may have heard reports recently about a security issue involving LinkedIn. We would like to make sure you have the facts about what happened, what information was involved, and the steps we are taking to help protect you.
Notice of Data Breach
What Happened?
On May 17, 2016, we became aware that data stolen from LinkedIn in 2012 was being made available online. This was not a new security breach or hack. We took immediate steps to invalidate the passwords of all LinkedIn accounts that we believed might be at risk. These were accounts created prior to the 2012 breach that had not reset their passwords since that breach.
What Information Was Involved?
Member email addresses, hashed passwords, and LinkedIn member IDs (an internal identifier LinkedIn assigns to each member profile) from 2012.
What We Are Doing
We invalidated passwords of all LinkedIn accounts created prior to the 2012 breach that had not reset their passwords since that breach. In addition, we are using automated tools to attempt to identify and block any suspicious activity that might occur on LinkedIn accounts. We are also actively engaging with law enforcement authorities.
LinkedIn has taken significant steps to strengthen account security since 2012. For example, we now use salted hashes to store passwords and enable additional account security by offering our members the option to use two-step verification.
What You Can Do
We have several dedicated teams working diligently to ensure that the information members entrust to LinkedIn remains secure. While we do all we can, we always suggest that our members visit our Safety Center to learn about enabling two-step verification, and implementing strong passwords in order to keep their accounts as safe as possible. We recommend that you regularly change your LinkedIn password and if you use the same or similar passwords on other online services, we recommend you set new passwords on those accounts as well.
For More Information
If you have any questions, please feel free to contact our Trust & Safety team at [email protected]. To learn more visit our official blog.
Por lo anterior, la notificación cubre los 5 elementos que exige el artículo 65. Ahora algunos comentarios extra:
Interesante que no traiga ligas externas que pudieran convertirse en phishing
Hablan sobre medidas de seguridad nuevas como el uso de “Salted password hashes” que ya está relacionado con el artículo 66
“Medidas correctivas en caso de vulneraciones de seguridad
Artículo 66. En caso de que ocurra una vulneración a los datos personales, el responsable deberá analizar las causas por las cuales se presentó e implementar las acciones correctivas, preventivas y de mejora para adecuar las medidas de seguridad correspondientes, a efecto de evitar que la vulneración se repita.”
Recomendaciones finales:
- cambien su contraseña de LinkedIn
- cambien la contraseña de cualquier sitio que tenga la misma contraseña
- revisen qué dispositivos han accedido su cuenta