La filtración millonaria de Match Group: cómo un SSO comprometido y ingeniería social expusieron 10 millones de registros

Match Group, la empresa detrás de aplicaciones de citas tan populares como Tinder, Match.com, OkCupid, Hinge y Meetic, confirmó que sufrió un incidente de seguridad que derivó en la sustracción de datos de usuarios. Según las informaciones publicadas por investigadores y medios especializados, un grupo conocido por filtrar información, denominado ShinyHunters, puso en circulación un archivo comprimido de 1,7 GB que, según los atacantes, contiene hasta 10 millones de registros de usuarios de varias de las plataformas del grupo, además de documentos internos.

La propia compañía explicó a medios que detectó acceso no autorizado y actuó para cerrarlo, y que la investigación continúa con apoyo de expertos externos. Match Group asegura que no hay evidencias de que se hayan exfiltrado credenciales de inicio de sesión, datos financieros o comunicaciones privadas, y afirma que se está notificando a las personas afectadas en la medida que corresponda. Puedes leer la cobertura técnica y las declaraciones en detalle en BleepingComputer: BleepingComputer.

Lo que diferencia este incidente de una filtración clásica es la vía de acceso: los investigadores señalan que los atacantes obtuvieron control después de comprometer una cuenta SSO (single sign‑on) gestionada con Okta. Ese acceso sirvió para extraer información alojada en herramientas de análisis de marketing y en repositorios en la nube —específicamente se ha mencionado la instancia de AppsFlyer, Google Drive y Dropbox—, donde suelen almacenarse tanto datos de seguimiento como documentos corporativos. El ataque formó parte de una campaña más amplia de vishing y suplantación que, según análisis independientes, ha intentado engañar a empleados de más de un centenar de organizaciones usando portales falsos y llamadas dirigidas; un resumen técnico de esa campaña puede consultarse en SilentPush: SilentPush.

Los atacantes habrían empleado ingeniería social sofisticada —incluido vishing, llamadas que pretenden ser internas— y dominios que imitaban portales corporativos para convencer a trabajadores de que iniciasen sesión en interfaces maliciosas (se ha mencionado el dominio utilizado “matchinternal.com”). Ese método no explota una falla técnica en los servicios de identidad, sino la confianza humana y la usabilidad de ciertos mecanismos de autenticación, lo que lo hace especialmente peligroso cuando el objetivo es un SSO: una vez comprometida una credencial con privilegios, el acceso se puede propagar a múltiples servicios sin necesidad de romper otras defensas.

Desde el punto de vista defensivo, expertos en respuesta a incidentes y firmas de seguridad llevan tiempo advirtiendo que las autenticaciones basadas en notificaciones push o SMS son vulnerables a manipulación por ingeniería social. En palabras citadas por los medios, especialistas como Charles Carmakal de Mandiant recomiendan avanzar hacia métodos de autenticación resistentes al phishing, como las llaves físicas FIDO2 o el uso de passkeys, que son mucho más difíciles de engañar con llamadas fraudulentas o portales falsos. Puedes leer recomendaciones prácticas sobre la evolución hacia MFA resistente al phishing en el blog de Okta, que también ha analizado cómo los kits de phishing se adaptan al guion de los atacantes: Okta Threat Intelligence.

Tanto para empresas como para usuarios finales hay lecciones concretas. A nivel corporativo, además de desplegar mecanismos de MFA resistentes al engaño, conviene aplicar políticas estrictas de autorización de aplicaciones, monitorizar de forma proactiva logs y actividad anómala en APIs, y restringir accesos desde proxies o servicios de anonimización que suelen usar los atacantes. A nivel individual, si recibes una llamada inesperada que te pide acceder a un portal interno o confirmar un código, lo recomendable es colgar y verificar la comunicación por canales oficiales; algunos bancos y plataformas están probando soluciones para validar llamadas en la propia app, una medida emergente que ya prueban entidades como Monzo o ciertos exchanges: Monzo y Crypto.com.

El tamaño y la exposición de Match Group agravan la preocupación pública: con cientos de millones de descargas históricas y una base activa que se estima en decenas de millones de usuarios, cualquier incidente que afecte a sus plataformas tiene un alcance potencial muy amplio y puede exponer datos personales y metadatos de comportamiento que son sensibles por su carácter íntimo. Aunque la compañía dice que la mayor parte de lo filtrado sería información de seguimiento más que PII en masa, no deja de ser un recordatorio de que los datos asociados a la vida afectiva y social de las personas requieren un tratamiento especialmente cauteloso.

Esta brecha vuelve a poner en evidencia una realidad tecnológica y humana: las protecciones técnicas mejoran año tras año, pero los atacantes invierten en tácticas de persuasión. La combinación de mejores herramientas de autenticación, políticas de control de acceso más estrictas y formación continua en ingeniería social para el personal es la mejor defensa práctica contra este tipo de intrusiones. Mientras tanto, usuarios y responsables de seguridad deben permanecer alertas, revisar notificaciones oficiales y seguir las comunicaciones que Match Group y los proveedores de identidad publiquen a medida que avance la investigación.

Para ampliar detalles técnicos y seguimientos del caso, la cobertura especializada sigue actualizándose en medios como BleepingComputer (ver artículo) y en los blogs de empresas de seguridad y proveedores de identidad que analizan tácticas de vishing y recomendaciones de mitigación (Okta, SilentPush).