Presunta exposición de datos de Cit0day

Los tipos de datos verificados son direcciones de correo electrónico y contraseñas. La dirección de correo electrónico es el principal identificador que permite a los atacantes localizar a una persona en distintas plataformas y vincular esa misma identidad con otras cuentas. Las contraseñas, por su parte, aumentan directamente el riesgo. Incluso las contraseñas almacenadas como hashes pueden descifrarse con el tiempo si se han utilizado algoritmos débiles, se han almacenado sin sal criptográfica o se han elegido contraseñas fáciles de adivinar. Los atacantes pueden utilizar directamente las contraseñas en texto sin formato. Por este motivo, Cit0day es una fuente de datos muy útil para los intentos de tomar el control de cuentas mediante la reutilización de contraseñas.

El peligro de esta filtración va más allá de una cuenta antigua en un único servicio. Si un usuario ha reutilizado la misma combinación de correo electrónico y contraseña en foros, juegos, sitios de compras, redes sociales, cuentas de correo electrónico o cuentas de trabajo, el riesgo aumenta en cadena. Los atacantes pueden probar la misma combinación en distintos servicios, modificar las opciones de recuperación de la cuenta tras conseguir iniciar sesión o atacar cuentas vinculadas. Además, la dirección de correo electrónico por sí sola puede utilizarse para enviar mensajes de suplantación de identidad. La presencia de contraseñas exige que los usuarios revisen no solo la cuenta antigua correspondiente, sino también todas las cuentas vinculadas al mismo historial de contraseñas.

El alcance verificado está asociado a 226 883 414 direcciones de correo electrónico únicas. Se ha indicado que el conjunto de datos consta de más de 23 000 archivos y entradas de sitios web: algunos archivos contienen direcciones de correo electrónico y hashes de contraseñas, otros contienen contraseñas descifradas y otros contienen pares de correo electrónico y contraseña en texto sin formato. En este incidente, los tipos de datos se limitan a direcciones de correo electrónico y contraseñas. No se han verificado en este contexto otros campos, como el nombre completo, el número de teléfono, la dirección física, la información de pago, la fecha de nacimiento o los documentos de identificación oficiales. Por tanto, la descripción incluye únicamente los campos verificados.

El registro debe mantenerse en la categoría de no verificado. El motivo no es que el conjunto de datos sea totalmente falso, sino que no se dispone de una única fuente clara, de una única notificación institucional o de una verificación definitiva de cada archivo que lo compone. Las revisiones muestran que el archivo contiene numerosos indicios válidos de cuentas reales; aun así, no sería correcto atribuir el mismo nivel de confianza a todos los sitios y archivos. Esta distinción es importante para la seguridad de los usuarios. Si el resultado es positivo, el riesgo debe tomarse en serio, pero no debe afirmarse con certeza, para cada usuario, qué sitio concreto filtró los datos.

Los usuarios con mayor riesgo son quienes reutilizan la misma contraseña en varios servicios. Las recopilaciones como Cit0day permiten a los atacantes probar pares de correo electrónico y contraseña de forma masiva. En estos archivos suelen encontrarse cuentas antiguas de foros, pequeños sitios de comercio electrónico, comunidades de videojuegos, plataformas de aficiones y registros en sitios web que ya no se utilizan. Si un usuario utilizó una contraseña débil en una cuenta antigua y eligió esa misma contraseña para un servicio más importante, una cuenta que parece poco relevante puede poner en riesgo otras cuentas críticas.

El segundo grupo de riesgo está formado por personas que siguen utilizando activamente su antigua dirección de correo electrónico o que han creado muchas cuentas con la misma dirección. Si una dirección de correo electrónico se mantiene durante años, los datos de distintas filtraciones pueden vincularse a un único perfil de usuario. El riesgo es aún mayor para quienes utilizan su dirección de correo corporativo en foros personales o pequeños sitios web: los atacantes pueden preparar mensajes dirigidos a la cuenta de trabajo a partir de datos personales. Los usuarios que han olvidado sus cuentas antiguas tampoco están libres de riesgo, ya que el historial de contraseñas que permanece en esas cuentas puede utilizarse para nuevos ataques.

El primer paso es revisar las contraseñas utilizadas anteriormente con la dirección de correo electrónico que aparece en el resultado de Cit0day. Si todavía se utiliza la misma contraseña, o una similar, en alguna cuenta activa, debe establecerse de inmediato una contraseña única y segura. Deben priorizarse las cuentas de correo electrónico, las cuentas financieras, los perfiles de redes sociales, el almacenamiento en la nube, los sistemas de trabajo y las cuentas principales desde las que se puede acceder a enlaces de restablecimiento de contraseñas. Utilizar un gestor de contraseñas facilita la creación de contraseñas largas y únicas para cada servicio. La autenticación multifactor debe activarse en todas las cuentas críticas que la admitan.

El segundo paso es examinar la configuración de seguridad de la cuenta de correo electrónico. Deben revisarse las sesiones desconocidas, las reglas de reenvío, los filtros automáticos, las direcciones de recuperación y los dispositivos conectados. Los atacantes pueden añadir reglas de reenvío que pasen inadvertidas en las cuentas a las que han accedido para mantener un acceso persistente. Las cuentas antiguas y sin uso deben cerrarse o, al menos, deben tener contraseñas únicas. Como es posible que el usuario no pueda saber exactamente en qué sitio se produjo la filtración, no debe limitar las medidas de protección a una sola cuenta; debe revisar y proteger todas las cuentas en las que haya utilizado el mismo correo electrónico y la misma contraseña en el pasado.

Las recopilaciones como Cit0day muestran claramente los efectos a largo plazo de reutilizar contraseñas. Si un usuario utilizó la misma contraseña hace años en un sitio que consideraba poco importante, esa información puede probarse después en cuentas mucho más críticas. La base de la protección a largo plazo son las contraseñas únicas, un gestor de contraseñas y la autenticación multifactor. Cuando se utiliza una contraseña distinta para cada servicio, una filtración en un sitio no se extiende a otras cuentas. La cuenta de correo electrónico también debe protegerse, porque la bandeja de entrada suele ser el punto central de recuperación de las demás cuentas.

Los usuarios deben revisar periódicamente el inventario de sus cuentas antiguas. Deben cerrar las cuentas que ya no utilizan, actualizar las contraseñas de las cuentas necesarias y reducir el riesgo de que se vincule su identidad entre distintas plataformas por utilizar el mismo nombre de usuario. Las organizaciones, por su parte, pueden realizar campañas de concienciación para limitar el uso de direcciones de correo corporativo en registros personales en sitios web. La seguridad de las contraseñas no consiste solo en elegir una contraseña segura: no reutilizar nunca la misma contraseña y mantener las cuentas antiguas bajo control es igual de importante.

Consultar Cit0day en LeakData le ayuda a saber si su dirección de correo electrónico aparece en esta amplia recopilación de credenciales. Si el resultado es positivo, primero haga una lista de todas las cuentas importantes que utiliza con esa misma dirección de correo electrónico. Después, identifique las cuentas que utilizan contraseñas iguales o similares y establezca una contraseña única para cada una. Active la autenticación multifactor en su cuenta de correo electrónico, revise el historial de inicios de sesión y elimine los dispositivos que no reconozca. Asegúrese de que la dirección de correo electrónico y el número de teléfono de recuperación de las cuentas críticas le pertenezcan.

Es posible que la mayoría de los usuarios no puedan determinar con certeza un único sitio de origen de esta filtración. Por tanto, la medida más adecuada es revisar y proteger todas las cuentas vinculadas a su historial de contraseñas. Utilizar un gestor de contraseñas, identificar las contraseñas antiguas y débiles, asignar contraseñas distintas a las cuentas que comparten una y cerrar las cuentas sin uso proporciona una protección duradera. No considere el resultado de Cit0day como un incidente del pasado: los pares de correo electrónico y contraseña pueden utilizarse en intentos automatizados de acceso a cuentas incluso años después. Si sus cuentas tienen contraseñas únicas y autenticación multifactor, el impacto de estas recopilaciones se reduce considerablemente.