Cómo saber si la contraseña que usas fue filtrada online

Según se difundió recientemente, casi 25.000 direcciones de correo electrónico y contraseñas supuestamente pertenecientes a los Institutos Nacionales de Salud (NIH), la Organización Mundial de la Salud (OMS), la Fundación Gates y otros grupos que trabajan para combatir la pandemial de coronavirus fueron publicadas online. Así lo informó el SITE Intelligence Group, una ONG de Estados Unidos que se encarga de hacer monitoreos online de grupos extremistas y terrorismo.

Es frecuente leer noticias sobre filtraciones masivas de mails y passwords. Muchas veces, los datos que se dan a conocer en un momento no pertenecen necesariamente a una brecha de seguridad reciente. En ocasiones, como se sospecha que ocurrió en el caso mencionado anteriormente, son datos provenientes de fallas o vulnerabilidades que ocurrieron hace muchos años.

Esos listados con combinación de correos y contraseñas suelen compartirse en la dark web y, cada tanto, pueden aparecer también en la surface web, o la web superficial o “tradicional”, que es la que conocemos y usamos todos a diario, cuando navegamos para consumir o compartir contenido de todo tipo. Eso fue lo que ocurrió en el caso de la filtración de los 25 mil datos que se atribuyen a la OMS, NIH, Fundación Gates y Banco Mundial, entre otras entidades.

Según se pudo saber, el listado de información parece haber sido publicado primero en el foro 4chan, y luego en Pastebin, un sitio de almacenamiento de texto, Telegram y Twitter. Desde esta red social salieron a decir que estuvieron removiendo todos aquellos posteos que enlazaban al listado de contraseñas y correos.

Hace poco tiempo también se tuvo noticias de una filtración que contenía más de 500 mil cuentas de Zoom, sólo por mencionar uno de los tantos casos de este tipo que se difunden con frecuencia.

Los riesgos: ciberacoso y extorsión

El peligro de la difusión de este tipo de contenido es que, si las contraseñas y correos aún están en uso, cualquier ciberatacante podría acceder a información confidencial que se puede usar para luego acosar al dueño de esa cuenta. Esto vale para cualquier tipo de filtración masiva de correos, que puede afectar a cualquier persona.

Si ese password se usa para acceder, por ejemplo, a billeteras digitales o sitios de compras online, entonces también sería la puerta de entrada a estafas y robo de dinero.

El otro punto es que se manden correos extorsivos diciéndole al usuario que cuentan con videos de su intimidad o que fueron tomados mientras miraba contenido pornográfico o cualquier otro comentario genérico que funcione como anzuelo. Es probable que el atacante no tenga ese contenido, pero como envía un mail donde le deja por escrito su contraseña, esto lo hará dudar y podría caer en la trampa.

A cambio, los ciberatacantes suelen pedir que se hagan transferencias de criptomonedas para que no se difunda el contenido. Es importante señalar que no hay que acceder a este tipo de prácticas extorsivas porque al hacerlo se alimenta la propagación de este tipo de delitos. Lo que se recomienda hacer en estos casos es hacer la denuncia en la fiscalía para que se inicie una investigación judicial.

Es importante ser conscientes de los riesgos que se corren en el universo digital, más allá del caso puntual de la filtración que se difundió recientemente porque, como se dijo, estas situaciones son una práctica muy recurrente y pueden afectar a cualquier persona, pero existen formas de protegerse como se verá a continuación.

Cómo saber si tus contraseñas fueron filtradas

Es muy probable que estés usando alguna plataforma que haya sido víctima de algún hackeo en el pasado. Es que una gran cantidad de apps y plataformas fueron alguna vez vulneradas o tuvieron algún agujero de seguridad que permitió el acceso a los datos de sus usuarios. Esos datos pueden incluir desde correos y contraseñas, hasta datos financieros, pasando por teléfonos o domicilios.

Hay dos sitios que reúnen información sobre los reportes de hackeos que se saben e informan regularmente. Uno de ellos es Have I been pawned, desarrollado por el especialista en ciberseguridad Troy Hunt, que se hizo muy conocido cuando alertó tsobre una de las filtraciones de datos más grandes de los últimos tiempos: bases de datos con 773 millones de correos y 21 millones de contraseñas fueron publicadas en la web.

En aquel entonces, Hunt creó un sitio donde al ingresar tu correo (sólo el mail: no solicita contraseña y correspondería que lo hiciera) te va a indicar si tu mail aparece en alguna filtración reportada, te contará en cual o cuáles y te dirá qué tipo de información confidencial, además de tu correo figura en esa filtración. Puede ser que sea contraseña, teléfono o algún otro dato.

El sitio Firefox Monitor también utiliza esa misma base de información para informarle al usuario si su correo figura en alguna de las filtraciones masivas. La diferencia es que cuenta con una interfaz que puede resultar más amigable para el usuario. Pero en ambos casos se obtiene la misma información.

Cómo protegerte

Tal como se dijo anteriormente, la información puede difundirse por foros o correos, en la dark web o en la surface web, pero más allá de cómo y dónde se publiquen estos datos confidenciales, lo cierto es que deja en claro, una vez más, la importancia de tomar medidas de precaución a la hora de usar correos electrónicos o crear perfiles en redes sociales.

En este sentido, es vital generar contraseñas robustas, cambiarlas con frecuencia (los gestores de contraseñas pueden ser aliados en este sentido), no utilizar las mismas claves en todos los sitios. Y por sobre todas las cosas, activar un segundo factor de autenticación en todas las plataformas que ofrezcan esta opción (en esta nota se explica, paso a paso cómo hacerlo), ya que de hacerlo, aún cuando el ciberatacante obtenga tu contraseña no podrá acceder a tu cuenta porque para hacerlo se le requerirá un token de activación que sólo estará en tu poder.