Breach Intelligence
Q-AB-RACAFE-20260429
Informe de Exposición de Credenciales · Racafé & Cía S.A. Búsqueda dual: por dominio + por origin (portales) — Q-Argus Breach Intelligence
`adminserviciosi@racafe.com` y `admserviciosti@racafe.com` comparten la contraseña Racafe*2013* capturada por Stealer Logs. Acceso administrativo a sistemas TI internos potencialmente comprometido desde equipos infectados.
5 registros de acceso al portal `escuelaracafe.com` capturados por stealer. La búsqueda por dominio devolvió 0 — esta exposición solo es visible con búsqueda por origin. Contraseña Hagilm20229 coincide con el usuario más expuesto del dominio principal (`hagil@racafe.com`), confirmando reutilización de credenciales entre portales.
Malware infostealer activo en equipos de empleados y posiblemente de usuarios del portal. Credenciales capturadas en tiempo real desde sesiones de navegador — pueden estar aún vigentes en sistemas internos.
Patrones detectados: Racafe*2013*, RacMed*XXXX*, RcaRacafe2022*, Racafe2011, racafe literal. Patrón regional en portales: Antioquia2021*, Hojamara2022*, Palmas20+ (referencias a fincas o variedades).
Los registros de origin muestran usuarios con correos no-`@racafe.com` que iniciaron sesión en `racafe.com` y `escuelaracafe.com` con credenciales capturadas. Sus accesos al portal pueden seguir activos.
Ninguno de estos dominios tiene registros en la base de datos de Q-Argus en búsqueda por dominio ni por origin.
| Fuente / Portal | Registros | Distribución | Tipo | Fecha |
|---|---|---|---|---|
| Stealer Logs | 29 | 46.8% |
Infostealer | Activo |
| Unknown | 8 | 12.9% |
Desconocido | — |
| LinkedIn.com | 5 | 8.1% |
Brecha | May 2012 |
| ShareThis.com | 3 | 4.8% |
Brecha | Jul 2018 |
| GoNitro.com | 3 | 4.8% |
Brecha | Ago 2020 |
| Edmodo | 2 | 3.2% |
Brecha | May 2017 |
| Canva.com | 2 | 3.2% |
Brecha | May 2019 |
| Deezer.com | 2 | 3.2% |
Brecha | Sep 2019 |
| Otras (9 fuentes) | 8 | 12.9% |
Brecha | 2016 – 2026 |
| Categoría | Cantidad |
|---|---|
| Con contraseña expuesta | 45 |
| Débiles (≤ 8 caracteres) | 23 |
| Solo numéricas | 9 |
| Sin contraseña (passwordless) | 17 |
| Con patrón institucional | 8 |
| Patrón detectado | Ejemplos |
|---|---|
| racafe (literal) | racafe ×2, Racafe2011 |
| Racafe*XXXX* | Racafe*2013* (×2 admin) |
| RcaRacafe* | RcaRacafe2022* (portal) |
| RacMedXXXX* | RacMed2021*, RacMed4243*, RacMed3132* |
| Región/Finca+Año | Antioquia2021*, Hojamara2022*, Palmas20+ |
| Solo numéricas | 9725538, 2947750, 901431339, 0836649 |
| Nombre propio | carreno, camilo, rodolfo |
| Registros | Distribución | Fuentes principales | |
|---|---|---|---|
| hagil@racafe.com | 9 | 9/47 |
Stealer Logs — también en `escuelaracafe.com` (Hagilm20229) |
| jdonado@racafe.com | 4 | 4/47 |
Taringa / GoNitro / Deezer / 500px |
| cespinosa@racafe.com | 3 | 3/47 |
Unknown / LinkedIn 2012 |
| rodolfo@racafe.com | 3 | 3/47 |
Houzz / ShareThis / CarnivalCorp 2026 |
| ydcardenas@racafe.com | 2 | 2/47 |
Stealer Logs |
| nbecerra@racafe.com | 2 | 2/47 |
LinkedIn (pwd "racafe") / Twitter |
| # | Email / Usuario | Contraseña | Fuente / Brecha | Portal (origin) | Fecha | Tipo |
|---|
Se identificaron cuentas administrativas TI con credenciales expuestas vía infostealer. Las cuentas de administración de servicios comparten una contraseña institucional idéntica. Si alguna de estas cuentas tiene acceso al directorio activo, ERP, servidores o paneles de administración, el impacto es de máxima severidad.
| Área / Función | Contraseña expuesta | Fuente | Riesgo | |
|---|---|---|---|---|
| adminserviciosi@racafe.com | Administración Servicios I — TI | Racafe*2013* | Stealer Logs | Crítico |
| admserviciosti@racafe.com | Administración Servicios TI | Racafe*2013* | Stealer Logs | Crítico |
| nbecerra@racafe.com | Usuario corporativo | racafe | LinkedIn.com | Crítico |
| becerra@racafe.com | Usuario corporativo | racafe | Unknown | Crítico |
`adminserviciosi@` y `admserviciosti@` tienen exactamente la misma contraseña. Indica credenciales de servicio compartidas — práctica de alto riesgo. Si un equipo está infectado y las credenciales fueron capturadas, ambas cuentas están comprometidas simultáneamente.
Usuario más expuesto del dominio (9 registros, todos Stealer Logs). La contraseña Hagilm20229 aparece capturada también en el portal `escuelaracafe.com`, confirmando reutilización de credenciales entre portales corporativos desde un equipo infectado.
Contraseña institucional basada en el nombre de la empresa expuesta en LinkedIn (brecha 2012). Si este patrón sigue vigente internamente, es un vector de ataque inmediato dirigido al equipo de TI.
El correo del Gerente General aparece en la brecha de LinkedIn 2012 con la contraseña `carreno` (apellido). Aunque sea una contraseña histórica, el ejecutivo es objetivo prioritario para campañas de spear-phishing y suplantación.
| Email capturado | Contraseña | Portal | Observación |
|---|---|---|---|
| hagil@racafe.com | 9725538 | racafe.com / www.racafe.com | Usuario corporativo — mismo equipo infectado |
| N/A (externo) | 120782-juanjo-S | racafe.com | Usuario "juanjo" con cédula — externo |
| N/A (externo) | Antioquia2021* | racafe.com | Patrón regional (Antioquia · zona cafetera) |
| N/A (externo) | eVeZeJ725. | racafe.com | — |
| N/A (externo) | 010671-juanjo-S | racafe.com | Posible mismo "juanjo" — otro acceso |
| N/A (externo) | 901431339 | racafe.com | Numérica — posible cédula |
| N/A (externo) | Andres27- | www.racafe.com | — |
| N/A (externo) | RcaRacafe2022* | www.racafe.com | Patrón institucional — posible empleado |
| N/A (externo) | c4EVbkG | www.racafe.com | Débil (7 chars) |
| N/A (externo) | Hojamara2022* | www.racafe.com | Posible variedad de café / finca |
| N/A (externo) | E8R7JAko | www.racafe.com | Débil (8 chars) |
| N/A (externo) | Palmas20+ | www.racafe.com | Posible referencia agrícola (Las Palmas) |
`escuelaracafe.com` tiene 0 correos `@escuelaracafe.com` en brechas, pero la búsqueda por origin revela 5 accesos capturados por stealer. Esto indica que el portal usa correos `@racafe.com` u otros dominios, y que hay actividad de infostealer activa en equipos que acceden a este portal.
| Email capturado | Contraseña | Portal | Observación |
|---|---|---|---|
| N/A | Hagilm20229 | escuelaracafe.com | Mismo patrón que `hagil@racafe.com` — reutilización de credenciales |
| N/A | 9725538 | escuelaracafe.com | Contraseña ya vista en `hagil@racafe.com` |
| N/A | Hagilm20229 | escuelaracafe.com | Duplicado — mismo acceso capturado dos veces |
| N/A | 0836649 | escuelaracafe.com | Numérica débil |
| N/A | 1836649 | escuelaracafe.com | Similar a contraseña de hagil (1836649) |
- 1Cambio inmediato y auditoría de cuentas admin TI Cambio urgente de `adminserviciosi@` y `admserviciosti@` — verificar accesos activos en Active Directory, ERP, paneles de administración. Invalidar todas las sesiones existentes. Revisar logs de autenticación desde la fecha de captura del stealer para detectar acceso no autorizado.
- 2Auditoría forense en equipos infectados por infostealer 29 registros de stealer activo. Análisis urgente en equipos de: hagil, adminserviciosi, admserviciosti, ydcardenas, ljramirez, y cualquier equipo que acceda a `racafe.com` y `escuelaracafe.com`. Identificar, contener y erradicar el malware. Revocar credenciales capturadas.
- 3Forzar restablecimiento de contraseñas para las 30 cuentas expuestas Prioridad: 4 cuentas críticas (adminserviciosi, admserviciosti, nbecerra, becerra). Luego las 26 restantes. Verificar que ninguna contraseña expuesta siga activa en sistemas internos. Especial atención a `hagil@` por 9 contraseñas expuestas.
- 4Revocar accesos al portal escuelaracafe.com El portal tiene actividad de infostealer confirmada. Forzar re-autenticación de todos los usuarios. Los registros con email N/A (usuarios externos) deben ser auditados — contactar y notificar a proveedores/clientes con acceso activo al portal.
- 5Implementar MFA en racafe.com, escuelaracafe.com y sistemas internos Autenticación multifactor obligatoria en portales corporativos, acceso VPN, correo, ERP y sistemas administrativos. Especialmente urgente para cuentas admin TI. El stealer puede capturar contraseñas pero no OTPs de hardware o app autenticadora.
- 6Prohibir patrones institucionales en contraseñas Bloquear: `racafe`, `racmed`, `rca`, `antioquia`, `hojamara`, `palmas` y variaciones. Política mínimo 14 caracteres, complejidad real, sin términos de la empresa o región. Implementar gestor de contraseñas corporativo. Capacitar sobre reutilización de contraseñas entre portales.
- 7Política de uso de correo corporativo en plataformas externas Correos `@racafe.com` expuestos en LinkedIn, ShareThis, GoNitro, Canva, Deezer, Edmodo, Houzz, Luxottica, CarnivalCorp, V-TightGel y más. Implementar política de uso aceptable y concientización — el mayor vector de exposición en brechas es el registro en servicios de terceros con el correo corporativo.
- 8Auditoría de cuentas genéricas / huérfanas Verificar si `adminserviciosi@`, `admserviciosti@`, `becerra@` (sin nombre), `rodolfo@` y `lfvalencia@` corresponden a empleados activos. Desactivar cuentas de exempleados. Eliminar cuentas de servicio compartidas y reemplazarlas por cuentas individuales con MFA.
- 9Monitoreo continuo de inteligencia de brechas Suscripción a alertas automáticas de Q-Argus para `racafe.com`, `racafe.com.co`, `racafe.co`, `racafe.ch` y `escuelaracafe.com`. Configurar alertas por origin para los portales corporativos. Los dominios secundarios están limpios hoy, pero deben monitorearse.