Plex ha confirmado un nuevo incidente de seguridad en el que una parte no autorizada obtuvo acceso a una de sus bases de datos, exponiendo un subconjunto de datos de clientes. La compañía dijo que la violación se contenía rápidamente, pero aconsejó a todos los usuarios que restablezcan sus contraseñas.
¿Qué información se expuso en la violación de datos de PLEX?
Según la notificación de Plex, el atacante accedió:
- Direcciones de correo electrónico
- Nombre de usuario
- Contraseñas de hash de forma segura
Plex enfatizó que las contraseñas fueron hash siguiendo las mejores prácticas de la industria, haciéndolas ilegibles para el atacante. Sin embargo, la compañía no reveló qué algoritmo de hash se utilizó, dejando abierta la posibilidad de intentos de agrietamiento de fuerza bruta.
Pasos Los usuarios deben tomar
PLEX requiere que todos los clientes reinicien sus contraseñas a través de plex.tv/reset. Durante el reinicio, los usuarios deben seleccionar «Inicie sesión de dispositivos conectados después del cambio de contraseña» para terminar las sesiones existentes y evitar el acceso no autorizado.
Recomendaciones adicionales incluyen:
- Usuarios de inicio de sesión único: Solicite todas las sesiones a través de plex.tv/security y reanicarse con credenciales de SSO.
- Habilitar la autenticación de dos factores (2FA): Agrega protección incluso si una contraseña está comprometida.
- Permanecer atento: Plex enfatizó que nunca solicitará contraseñas o detalles de pago por correo electrónico.
La compañía aclaró que la información de la tarjeta de pago no estaba en riesgo, ya que Plex no almacena estos datos.
Respuesta y contexto de la empresa
Plex declaró que ha solucionado la vulnerabilidad explotada en el ataque, pero no ha compartido detalles técnicos de la violación o sus pasos de remediación.
Este es el segundo problema de seguridad importante reportado por Plex en los últimos años. Un incumplimiento de 2022 violenta de manera similar a los nombres de usuario, correos electrónicos y contraseñas de hash, lo que provocó otra ola de restos de contraseña obligatoria.
