Listas combinadas de credenciales publicadas en Telegram

Las listas combinadas de credenciales publicadas en Telegram incluyen tipos de datos verificados, como direcciones de correo electrónico, nombres de usuario y contraseñas. Cuando se combinan estos tres campos, el riesgo de que un atacante tome el control de una cuenta es elevado. La dirección de correo electrónico o el nombre de usuario indica qué identificador intentará utilizar el atacante; la contraseña, si se usa de forma idéntica o similar en otros servicios, sirve directamente de base para los intentos de inicio de sesión. Por tanto, el resultado no debe tratarse como una simple alerta de correo no deseado, sino como una advertencia de alta prioridad sobre la seguridad de las contraseñas.

Este conjunto de datos no incluye nombres, números de teléfono, direcciones físicas, tarjetas de pago ni números de documentos oficiales de identidad como tipos de datos verificados. El riesgo principal reside en la información de autenticación. Como algunas filas pueden contener información sobre el sitio web donde se introdujo la contraseña, los atacantes pueden identificar con mayor facilidad a qué servicio intentar acceder. Sin embargo, es posible que la pantalla del usuario no siempre muestre qué contraseña corresponde a cada sitio. Esta incertidumbre obliga a considerar arriesgadas todas las contraseñas reutilizadas.

Las fuentes de las listas combinadas de credenciales suelen incluir filtraciones antiguas, listas recompiladas, contraseñas débiles adivinadas o registros de malware que roba información. Por ello, una misma dirección de correo electrónico puede aparecer con varias contraseñas utilizadas en distintos servicios en el pasado. Aunque un usuario utilice hoy una contraseña segura, el riesgo persiste si una contraseña antigua sigue siendo válida en otras cuentas. Para las organizaciones, la aparición de correos electrónicos de empleados en estas listas puede aumentar los ataques dirigidos que intentan adivinar credenciales de cuentas y el tráfico de phishing.

El alcance verificado comprende una colección fechada el 28 de mayo de 2024, incorporada al registro el 3 de junio de 2024 y actualizada por última vez el 11 de junio de 2024; 361 468 099 cuentas únicas; y direcciones de correo electrónico, contraseñas y nombres de usuario como tipos de datos. El incidente no indica que los sistemas del servicio Telegram hayan sufrido una intrusión. Una descripción más precisa es que se trata de la clasificación de listas de credenciales compartidas en canales maliciosos de Telegram, recopiladas y verificadas como un conjunto de datos.

Esta distinción es importante para la seguridad del usuario. Un resultado con coincidencias no significa que su cuenta de Telegram haya sido comprometida. Su dirección de correo electrónico, nombre de usuario o contraseña puede haber aparecido en listas procedentes de distintas fuentes, y esas listas pueden haberse distribuido en canales de Telegram. Por tanto, las medidas deben abarcar todas las cuentas importantes en las que se puedan haber utilizado el mismo correo electrónico y la misma contraseña, en lugar de centrarse en una cuenta concreta de mensajería social.

El número de filas sin procesar no debe confundirse con el número de cuentas únicas. Entre los aproximadamente 2 mil millones de filas, una misma dirección de correo electrónico puede aparecer varias veces con contraseñas distintas o procedente de diferentes fuentes. La cantidad de cuentas afectadas que se muestra al usuario es el valor verificado por dirección de correo electrónico única. No deben añadirse campos no verificados a los tipos de datos, el incidente no debe presentarse como una filtración de una sola marca y su alcance debe limitarse al contexto de una colección de credenciales.

El grupo de mayor riesgo está formado por quienes utilizan la misma contraseña en varios servicios. Si una contraseña se ha utilizado en un foro antiguo, una cuenta de juegos, un sitio de compras o una cuenta de prueba y después se reutiliza en cuentas de correo electrónico, redes sociales, servicios financieros o trabajo, este conjunto de datos puede ofrecer a los atacantes una lista de credenciales preparada para realizar pruebas de acceso. Aunque una contraseña sea larga, el riesgo persiste si no es única. Por ello, el uso de una contraseña única debe ser obligatorio en todas las cuentas críticas.

El segundo grupo de riesgo está formado por empleados que abren cuentas en servicios personales con sus direcciones de correo electrónico corporativas. Si la dirección corporativa y la contraseña de un empleado aparecen en una lista combinada de credenciales, esto no demuestra que los sistemas de la empresa hayan sido comprometidos; sin embargo, ofrece a los atacantes una oportunidad para probar credenciales en el dominio de la empresa. Debe darse prioridad a la evaluación de las cuentas de administradores y de los equipos de finanzas, recursos humanos, soporte y tecnología. Las organizaciones deben vigilar de cerca los intentos fallidos de inicio de sesión, las ubicaciones inusuales y las sesiones en dispositivos nuevos.

El tercer grupo de riesgo está formado por usuarios cuyos dispositivos pueden haber ejecutado anteriormente malware que roba información. Si los datos proceden de una fuente de este tipo, cambiar la contraseña puede no ser suficiente. Las contraseñas guardadas en el navegador, las cookies de sesión y los registros de formularios también pueden estar en riesgo. Los usuarios deben analizar sus dispositivos con software de seguridad fiable, eliminar las extensiones de navegador desconocidas, cerrar las sesiones abiertas y utilizar una llave de seguridad o un método sólido de autenticación de dos factores en las cuentas críticas.

Los usuarios para los que se hayan encontrado coincidencias deben empezar por cambiar las contraseñas de sus cuentas de correo electrónico y después hacer lo mismo en todas sus cuentas críticas. Deben evitarse por completo las contraseñas idénticas o similares y elegirse una contraseña única y larga para cada servicio. Un gestor de contraseñas permite realizar este proceso de forma fiable. Añadir un número al final de una contraseña antigua o modificar ligeramente una letra no es suficiente; los atacantes pueden probar estas variaciones con facilidad.

El segundo paso es activar la autenticación multifactor. La autenticación mediante una aplicación o una llave de seguridad física ofrece una protección más sólida que un código por SMS por sí solo. En la configuración de la cuenta deben revisarse las sesiones abiertas, los dispositivos no reconocidos, las direcciones de correo electrónico de recuperación añadidas recientemente, las reglas de reenvío y la actividad reciente de inicio de sesión. Deben cerrarse las sesiones sospechosas, actualizarse la información de recuperación y mantenerse activadas las notificaciones de seguridad.

El tercer paso es comprobar la seguridad de los dispositivos. Ante la posibilidad de que exista malware que roba información, los usuarios deben actualizar sus computadoras y teléfonos, eliminar las aplicaciones desconocidas, revisar las extensiones del navegador y realizar un análisis con una herramienta de seguridad fiable. Si se ha utilizado una cuenta de trabajo, una cuenta financiera o la cuenta principal de correo electrónico en el mismo dispositivo, también deben cerrarse las sesiones y aplicarse controles de acceso en esas cuentas.

A largo plazo, la defensa más eficaz es utilizar contraseñas únicas y una autenticación sólida de dos factores. Cuando se utiliza una contraseña distinta para cada servicio, las credenciales que aparecen en una lista combinada no permiten extender el acceso a otras cuentas. Los usuarios deben generar contraseñas aleatorias con un gestor de contraseñas, cerrar las cuentas antiguas, finalizar las sesiones en servicios que ya no utilizan y adoptar el hábito de comprobar periódicamente si sus datos aparecen en filtraciones.

Una estrategia permanente para las instituciones consiste en vigilar la aparición de correos electrónicos de empleados en colecciones externas de credenciales y priorizar los resultados según el nivel de riesgo. En las cuentas con privilegios elevados deben combinarse llaves de seguridad, autenticación multifactor obligatoria, controles de inicio de sesión basados en el riesgo y reglas de bloqueo de contraseñas filtradas. Las solicitudes de restablecimiento de contraseña gestionadas por el servicio de asistencia deben confirmarse mediante una autenticación sólida.

Este incidente también muestra que mantener los dispositivos seguros es tan importante como proteger las contraseñas. Los usuarios no deben retrasar las actualizaciones del sistema operativo y del navegador, deben evitar el software pirateado y los complementos desconocidos, y utilizar su cuenta principal de correo electrónico solo en dispositivos de confianza. Como el malware que roba información puede atacar no solo las contraseñas, sino también las sesiones activas, el cierre periódico de sesiones y la revisión de las notificaciones de seguridad forman parte de la defensa a largo plazo.

Si su dirección de correo electrónico aparece en la filtración de datos «Listas combinadas de credenciales publicadas en Telegram», no lo interprete como una filtración directa de un servicio concreto. Una interpretación más precisa es que su dirección de correo electrónico, nombre de usuario o contraseña puede haberse incluido en una gran colección de credenciales compartida a través de canales maliciosos. El objetivo principal es averiguar si utiliza la misma contraseña en otras cuentas y sustituir rápidamente las contraseñas reutilizadas.

Si el resultado de la comprobación muestra una coincidencia, deben revisarse con prioridad las cuentas de correo electrónico, las cuentas financieras, las redes sociales, las herramientas de trabajo y los servicios en la nube. En todas las cuentas críticas deben utilizarse contraseñas únicas y autenticación multifactor, controlarse las sesiones y aplicarse medidas de seguridad en los dispositivos. En el caso de las direcciones corporativas, la supervisión por dominio facilita la priorización de las cuentas de empleados en riesgo. Las comprobaciones periódicas ayudan a detectar de forma temprana el riesgo derivado de la reutilización de antiguas listas combinadas de credenciales en nuevos ataques que prueban credenciales en cuentas.