Tell HN: Scribd ha sufrido una brecha
Scribd ha revelado un incidente de seguridad en el que una parte no autorizada podría haber accedido a direcciones de correo electrónico de usuarios y a datos parciales de pago, incluidos los últimos cuatro dígitos de las tarjetas de crédito, emisor, país y fechas de caducidad. Los comentaristas cuestionan el proceso de notificación escalonado y opaco de la empresa, señalan su historial de problemas similares y muestran poca simpatía por un servicio visto ampliamente como un muro de pago para PDFs que de otro modo serían gratuitos. La brecha también se enmarca como parte de una ola más amplia de ciberataques y de una creciente “fatiga por las brechas”, con debate sobre cómo la IA, el red-teaming y mejores herramientas de pago como las tarjetas virtuales podrían cambiar el panorama de seguridad.
Detalles de la brecha y notificaciones
- Los usuarios informan haber recibido correos sobre la brecha en distintos días a finales de octubre.
- El artículo de soporte de Scribd (enlazado en el hilo) dice que los avisos se están enviando por fases; los comentaristas señalan que eso explica el hecho del retraso, pero no el motivo del mismo.
- El contenido del correo se describe en gran medida como una repetición del artículo de soporte, lo que algunos critican por ser vago y redirigir a los usuarios a llamadas telefónicas.
- Un fragmento citado dice que los datos expuestos pueden incluir: dirección de correo electrónico, los últimos 4 dígitos de la tarjeta de crédito, país, emisor y fecha de caducidad.
- Algunos se preguntan cómo identificar qué tarjeta se ve afectada; el aviso dirige a los usuarios a un centro de llamadas dedicado.
Críticas a la gestión del incidente y antecedentes
- Varios comentaristas cuestionan por qué no se envió la notificación a todos los usuarios afectados a la vez, especialmente cuando hay información de pago involucrada.
- La página del incidente es criticada por ofrecer poca información concreta y por haber sido actualizada una vez a principios de octubre.
- Se menciona la brecha previa de Scribd en 2013; entonces afirmaron que no se había accedido a datos de pago y prometieron mejorar la seguridad. Los comentaristas señalan que la historia parece repetirse.
Reputación de Scribd como servicio
- Muchos expresan hostilidad hacia Scribd, llamándolo depredador o de “valor negativo” por:
- Poner detrás de un muro de pago PDFs que están o estaban disponibles gratuitamente.
- Fomentar subidas sin compensar a quienes las suben.
- Dificultar la descarga de originales y empujar a suscripciones.
- Varios dicen que suelen ignorar los resultados de Scribd en las búsquedas y que no sienten simpatía por la empresa, aunque sí por los usuarios afectados.
Seguridad más amplia y fatiga por las brechas
- Algunos ven la brecha como parte de una ola de incidentes; otros dicen que la gente dejó de preocuparse por las filtraciones de datos hace años, pasando a la resignación.
- La discusión se amplía al doble papel de la IA:
- Como herramienta para atacantes y defensores.
- Como causa de bases de código más caóticas y menos comprensibles cuando se usa para generar código.
- Hay debate sobre si el código asegurado con IA es realmente más seguro; algunos sostienen que, por ahora, el código escrito por humanos más revisión con IA es más seguro.
Subhilos técnicos de seguridad y respuestas
- Se aclara que “cifrado en reposo” protege principalmente contra el robo físico de discos, no contra aplicaciones comprometidas.
- Se menciona el cifrado homomórfico como una forma teórica de evitar la exposición en texto plano, pero se considera impracticable hoy en día.
- Se comentan las tarjetas de crédito virtuales/de un solo uso como medida de mitigación; la disponibilidad depende del banco.
- Algunos planean reducir su “superficie de cuentas” cerrando cuentas antiguas para limitar la exposición futura.