07 Agosto 2014

Acción fue conocida ayer y se atribuye a ciberdelincuentes rusos:
Los posibles efectos del robo de más de mil millones de nombres de usuarios y contraseñas

PR / Symantec

Un grupo de ciberdelincuentes rusos se habría apoderado de alrededor de 1.200 millones de contraseñas y direcciones de correos electrónicos en el mundo, lo cual les permite conectarse a unos 420 mil sitios web, que incluyen portales de todo tipo e importancia.

Así lo aseguró a The New York Times la entidad especializada en seguridad informática Hold Security, la misma que el año pasado denunció la sustracción de cerca de tres millones de datos desde la página de Adobe Systems.

Ahora la cantidad de afectados sería mucho mayor. "De los 7 mil millones de habitantes del planeta, se considera que al menos el 40%, es decir unos 2,8 millones de personas, están conectadas a internet. Es decir, si fuera una contraseña por persona, cerca de un tercio de los usuarios podría tener comprometidas sus contraseñas", dice a "El Mercurio" Nicolás Severino, especialista en seguridad digital de la compañía Symantec, creadora del antivirus Norton.

Y aunque no sea una contraseña por persona, sigue siendo una cifra abrumadora. "Igual estamos hablando de un cuarto o un quinto de la población que tiene internet", sostiene. Es decir, si se confirma, será la mayor operación de robo de datos hasta ahora.

La acción ilícita se habría prolongado durante varios meses entre el año pasado y el presente. Los ciberdelincuentes sometieron a prueba la vulnerabilidad de diferentes portales de la red. Previamente infectaron una serie de computadores particulares con los que formaron una red de ataque, también conocida como botnet.

Estos computadores zombi se conectaron a los portales para ver si había fallas y si las descubrían, los atacaban y robaban sus datos. "Es como probar todas las puertas de todos los automóviles de un estacionamiento y ver cuáles no están cerradas con llave", explicó Gérôme Billois, experto de la empresa europea Solucom.

Como el número de afectados es tan grande, muchos internautas ven muy difícil que justo sean sus cuentas las hackeadas. Sin embargo, en opinión de Severino se trata de una falsa sensación de seguridad. "Tal vez pueden no robar en forma directa, pero sí aprovechar tu usuario para infectar con código malicioso a gente con la que compartes en las redes sociales".

Con el nombre de usuario y la contraseña de una persona, se pueden conseguir informaciones muy personales, como historiales de compras, conversaciones en foros, fotos, direcciones de domicilios, lo cual mejora la calidad de una potencial estafa.

La empresa Hold Security declinó informar sobre los nombres de los portales afectados, aduciendo razones de confidencialidad y seguridad. Eso sí, a cambio de una suscripción anual de 120 dólares, ofrece a los administradores de páginas web un análisis para saber si están entre los hackeados. Y, además, planea ofrecer en los próximos 60 días a los usuarios un "Servicio de Protección de Identidad". Quien complete el cuestionario para abonarse podrá comprobar si se ha visto personalmente afectado por el robo. Un aprovechamiento de la situación que ha generado fuertes críticas a la empresa.

Los daños, por ahora, serían limitados. El fundador de Hold Security, Alex Holden, explicó que los criminales usaron la información para enviar correos con spam publicitario o enlaces a programas maliciosos, pero estarían considerando vender la información.

The New York Times hizo analizar el caso por un experto independiente que confirmó que las informaciones son ciertas. No obstante, para otras empresas del área, como Kaspersky, no existe todavía seguridad de que lo publicado sea cierto. Pero, por si acaso, recomiendan tomar resguardos, como cambiar las contraseñas de sitios sensibles.

Consejos para una contraseña segura
- Proteger los equipos con software de seguridad.
-Cambiar la contraseña frecuentemente.
-Evitar usar la misma contraseña en distintas cuentas.
-Nunca usar combinaciones sencillas (como 12345). Mejor si se combinan letras con números y signos de al menos ocho dígitos.
-En aplicaciones que manejan datos sensibles, preferir la identificación por dos vías: a la contraseña hay que añadirle un código obtenido a través de un mensaje telefónico o una tarjeta de chip.
-Emplear programas gestores de contraseñas.