Groupon hackeado: reacción de la industria

Los usuarios de Groupon han informado que los estafadores obtuvieron acceso ilegal a sus cuentas y realizaron compras no autorizadas a su nombre. Los piratas informáticos supuestamente utilizaron los datos de inicio de sesión de otras violaciones de datos para piratear las cuentas de Groupon de clientes individuales.
Esto es lo que la industria hace con la violación de datos:
Rob Sobers, director de Varonis:
“Las noticias de hoy son el resultado de miles de millones de cuentas de usuario comprometidas por otras infracciones que ahora se utilizan para obtener acceso legítimo a las cuentas de usuario de Groupon con el fin de realizar compras costosas justo a tiempo para las vacaciones. Si los piratas informáticos pueden apropiarse de las credenciales de un consumidor para Groupon, entonces los profesionales de seguridad de datos deben preguntarse si esas mismas contraseñas pueden usarse para acceder a los datos de su organización.
“Apenas pasa un día sin que ingresemos al menos una contraseña o pin para demostrar que somos quienes somos antes de acceder a información o recursos. Sin embargo, las contraseñas también son una de las cosas en las que nos equivocamos constantemente porque las hacemos cortas, comunes e iguales en nuestras diversas aplicaciones. Si los consumidores están simplificando sus prácticas de autenticación de contraseñas en sus aplicaciones personales, entonces es lógico que lo estén haciendo con sus credenciales de acceso de empleados. Una defensa perimetral ya no importa si alguien tiene las llaves de la puerta de entrada y tiene la intención de dañar la cuenta de usuario individual o la organización.
“Los consumidores deben tomar medidas proactivas para garantizar la privacidad de sus propios datos practicando primero una buena higiene de las contraseñas. Troy Hunt, reconocido experto en seguridad y autor del servicio gratuito de violación de datos, «He sido pwned?, «Ofrece al consumidor online de todos los días consejos útiles para crear contraseñas seguras y eficaces en esta formación online gratuita patrocinada por Varonis Systems, Inc .:»Conceptos básicos de seguridad en Internet, 5 lecciones para protegerse en línea. » Sugiere que las contraseñas seguras deben tener al menos 8 caracteres de longitud de letras mayúsculas y minúsculas al azar, números y puntuación no numérica. El nombre de su perro más el año no es una contraseña aleatoria. En su lugar, se debe usar una frase de contraseña para crear longitud y aleatoriedad. Por ejemplo, «¿Qué tiene Roger para cenar?» se puede manipular con sustitución de letras y abreviar a un acrónimo. Finalmente, y lo más importante para el ejemplo de Groupon, es que una contraseña segura es única y solo se usa para una aplicación «.
Paul Fletcher, evangelista de seguridad cibernética en Alert Logic:
“Este es el tipo de impacto secundario que puede resultar de violaciones de seguridad que incluyen información de identificación personal (PII) y específicamente, nombre de usuario, contraseñas e información de preguntas de seguridad. Es extremadamente importante tener una buena higiene de la «contraseña» para disminuir el impacto de las infracciones en un sistema frente a otro sistema efectivo. Parte de una buena «higiene de contraseñas» es NO usar la misma contraseña en varios sitios web, rotar (cambiar) las contraseñas de manera recurrente y usar diferentes preguntas de seguridad en diferentes sistemas y, cuando sea posible, usar la autenticación de dos factores «.
Richard Meeus, vicepresidente de tecnología para EMEA en NSFOCUS:
“Con las violaciones masivas de datos anunciadas la semana pasada por Yahoo! – recuerde que fueron mil millones de cuentas – nunca ha sido más importante usar contraseñas diferentes en cada sitio y usar 2FA (autenticación de 2 factores) siempre que sea posible.
El uso del mismo nombre de usuario y contraseña en todos los sitios ya no debería suceder. Necesitamos cambiar la apatía de los usuarios hacia las contraseñas y tal vez también lograr que los propietarios de sitios web sean más proactivos en el apoyo a sus clientes al comparar sus bases de datos con las listas de cuentas violadas «
Lee Munson, investigador de seguridad de Comparitech.com:
“Los problemas experimentados por los clientes de Groupon muestran cómo una violación de datos puede tener consecuencias de gran alcance que afectan más que solo a la empresa que fue atacada inicialmente.
“El hecho de que los titulares de cuentas de Groupon hayan visto cuentas comprometidas y pérdida de dinero también dice mucho sobre la práctica de reutilizar direcciones de correo electrónico y, especialmente, contraseñas en muchos sitios web diferentes.
“Los usuarios deben ser conscientes de los riesgos de reciclar las credenciales de inicio de sesión, lo que significa que una infracción puede socavar TODAS sus cuentas, así como estar informados específicamente sobre este incidente para que al menos puedan cambiar su contraseña de Groupon de inmediato.
«En cuanto a Groupon en sí, aunque no ha sido violado, parece que aún podría aprender una lección o dos sobre la respuesta a incidentes para que sus clientes puedan mantener la creencia de que la empresa tiene sus mejores intereses y seguridad en el corazón».
Jonathan Sander, vicepresidente de estrategia de productos de Lieberman Software:
“Lo que estamos viendo con las quejas de seguridad de Groupon es el triunfo del ruido de las redes sociales sobre el sentido común. Groupon no fue violado, hasta donde sabemos. Si los usuarios de Groupon decidieron hacer lo que todos los expertos en seguridad del mundo, y probablemente todos los demás servicios con los que interactúa, les hayan dicho una y otra vez que NO deben hacer: usar la misma contraseña para muchos sitios web y servicios, entonces, ¿cómo puede el usuario esperar algo más que estos terribles resultados? ¿Significa esto que Groupon tiene una seguridad increíble? No. El punto es que esto no se trata de la seguridad de Groupon de ninguna manera. Este problema proviene de que los usuarios no toman buenas decisiones, incluso cuando conocen las posibles consecuencias. La razón por la que muchos profesionales de la seguridad sienten que sus consejos son como «comer bien y hacer ejercicio» es porque, al igual que los consejos de salud, las personas solo parecen seguir los consejos de seguridad después de que algo terrible les muestra que también les pueden pasar cosas malas «.
Mark James, especialista en seguridad de TI de ESET:
“Lamentablemente, esto a menudo es el resultado de la reutilización de contraseñas en otros sitios, cuando ocurren grandes filtraciones de datos, los piratas informáticos o los receptores de datos robados probarán esos datos en sitios que almacenan o conservan los datos de su tarjeta. Si tiene éxito, es posible que puedan comprar productos utilizando métodos de autenticación ya robados o incluso en algunos casos sin autenticación en absoluto, si la única autenticación es el código CVC de su tarjeta, entonces es solo una posibilidad de 1 en 1000 hacerlo bien. Con tantos de nuestros datos robados en estos días, es imperativo que esté atento a sus correos electrónicos y estados financieros para detectar cualquier transacción sospechosa. Esté atento y, en la medida de lo posible, intente ponerse en contacto con su banco y el minorista lo antes posible con cualquier discrepancia, conserve toda la correspondencia y revise sus contraseñas para cualquier sitio que pueda almacenar la información de su tarjeta de crédito. Un administrador de contraseñas puede ayudarlo a usar contraseñas complejas únicas y la autenticación de 2 factores, si está disponible, evitará que otros usen sus datos de inicio de sesión «.