Dropbox Filtración de datos

Los tipos de datos verificados son las direcciones de correo electrónico y los hashes de contraseñas. Una dirección de correo electrónico por sí sola no permite acceder a una cuenta, pero puede utilizarse para enviar mensajes de phishing, realizar intentos dirigidos de adivinar contraseñas y relacionar cuentas de distintos servicios. Un hash de contraseña no es una versión legible de la contraseña; sin embargo, elegir contraseñas débiles, utilizar métodos de hash obsoletos o reutilizar contraseñas en otros sitios puede dar ventaja a los atacantes. En el incidente de Dropbox, no se verificó que las contraseñas estuvieran en texto plano; el riesgo surgió de la inclusión de hashes con sal en listas utilizadas para ataques sin conexión.

El mayor peligro proviene de la reutilización de contraseñas. Si un usuario ha utilizado una antigua contraseña de Dropbox en su cuenta de correo electrónico, una red social, una herramienta de trabajo, una cuenta de compras, un servicio de almacenamiento en la nube o una cuenta de videojuegos, los atacantes pueden probar la misma combinación de correo electrónico y contraseña en distintas plataformas. La exposición de la dirección de correo electrónico hace más convincentes las alertas de seguridad falsas y los mensajes falsos para compartir archivos. En este caso, como el contenido de los archivos no figura entre los datos verificados, no debe concluirse que los archivos se hayan filtrado; sin embargo, si la contraseña es válida en otro servicio, el impacto puede extenderse a cuentas ajenas a Dropbox.

La fecha registrada de la filtración es julio de 2012. El periodo en el que el conjunto de datos adquirió mayor visibilidad y el proceso de restablecimiento de contraseñas cobró protagonismo es agosto de 2016. El número de cuentas verificadas consta como 68 648 009. En diversas noticias pueden encontrarse cifras redondeadas, como 68 millones o 68,6 millones; la cifra que se utiliza como base en la lógica de consulta de usuarios es 68 648 009. El incidente se ha vinculado al uso indebido de una contraseña reutilizada en la cuenta de un empleado y al acceso a datos que contenían credenciales de usuarios.

En el registro no se ha verificado la presencia de campos relativos a tarjetas de pago, cuentas bancarias, números de identificación oficial, números de teléfono, direcciones completas, contenido de archivos ni documentos privados. Los campos verificados son la dirección de correo electrónico y la representación criptográfica de la contraseña. Algunos hashes de contraseñas están protegidos con bcrypt y otros con SHA-1; por tanto, el riesgo de que una cuenta se vea comprometida no es el mismo para todas las cuentas. No obstante, si una contraseña antigua sigue utilizándose en distintas cuentas, el incidente puede seguir generando un riesgo de toma de control de cuentas y de phishing incluso años después.

El grupo de mayor riesgo está formado por personas que tenían una cuenta de Dropbox antes de 2012 y posteriormente utilizaron esa contraseña en otros servicios. Aunque el proceso de restablecimiento de contraseñas ha reducido el riesgo para las cuentas de Dropbox, el problema persiste si la misma contraseña antigua sigue presente en otro servicio. Las direcciones de correo electrónico con un dominio corporativo también pueden ser más susceptibles a mensajes dirigidos, ya que un atacante puede intentar deducir, a partir del dominio, la organización, el departamento al que podría pertenecer el usuario o sus hábitos de uso de archivos en la nube.

Las cuentas antiguas también requieren especial atención. La evaluación del riesgo debe incluir las direcciones de correo electrónico que ya no se utilizan, las cuentas personales olvidadas, los usuarios vinculados a carpetas de equipo y los dispositivos cuyas sesiones no se han revisado desde hace mucho tiempo. El riesgo es mayor para quienes utilizan la misma contraseña en su cuenta de correo electrónico, porque, si esta se ve comprometida, los procesos de recuperación de contraseñas de otras cuentas también pueden estar en riesgo. La filtración de datos de Dropbox no debe abordarse solo como un problema de una cuenta de almacenamiento en la nube, sino también desde la perspectiva de las buenas prácticas con las contraseñas y la seguridad del conjunto de cuentas vinculadas.

El primer paso es asegurarse de que la contraseña utilizada en Dropbox en 2012 ya no esté activa en ninguna cuenta. Si la misma contraseña, o una similar, sigue utilizándose en otros servicios, debe asignarse una contraseña única y robusta a cada cuenta. Debe activarse la verificación en dos pasos en la cuenta de Dropbox y deben revisarse los dispositivos conectados, las sesiones activas y las conexiones con terceros. Se deben eliminar los dispositivos que no se reconozcan, revisar los enlaces antiguos para compartir y desactivar los que no sean necesarios.

La cuenta de correo electrónico también debe protegerse, porque los mensajes de recuperación de cuentas y los enlaces para restablecer contraseñas suelen llegar por correo electrónico. Hay que tener precaución ante los mensajes falsos sobre la cuota de almacenamiento, el uso compartido de archivos, las alertas de contraseñas o la suspensión de cuentas que utilicen el nombre de Dropbox. En lugar de hacer clic en el enlace, debe accederse al servicio directamente desde el navegador, y los mensajes sospechosos deben eliminarse sin abrirlos. Si la misma contraseña antigua se utilizó en una cuenta de trabajo o de un centro educativo, debe informarse al equipo de seguridad y revisarse el historial de inicio de sesión de las cuentas correspondientes.

Para la protección a largo plazo de las cuentas de almacenamiento en la nube, las contraseñas únicas, la verificación en dos pasos y la revisión periódica de las sesiones deben considerarse medidas fundamentales. Utilizar un gestor de contraseñas facilita comprobar si una antigua contraseña de Dropbox sigue presente en otras cuentas. Los enlaces para compartir deben revisarse periódicamente, los que no sean necesarios deben desactivarse y los dispositivos antiguos deben eliminarse de la cuenta. Si los archivos personales y los de trabajo se guardan en la misma cuenta, los permisos deben supervisarse con mayor rigor y no debe haber accesos innecesarios a las carpetas de equipo.

Desde una perspectiva corporativa, el incidente demuestra que la reutilización de contraseñas por parte de los empleados puede convertirse en un problema de seguridad importante que llegue a afectar a las credenciales de los clientes. Las cuentas de empleados requieren autenticación robusta, contraseñas únicas, restricciones de acceso, alertas de inicios de sesión inusuales y controles estrictos sobre el acceso a datos sensibles. Proteger los hashes de contraseñas con métodos robustos mitiga el daño, pero no basta por sí solo. La notificación rápida a los usuarios, los cambios obligatorios de contraseña, las comprobaciones para detectar contraseñas débiles y las políticas que impiden reutilizar contraseñas deben formar parte de una misma cadena de defensa.

Si ve un resultado de coincidencia, es posible que se haya encontrado su dirección de correo electrónico entre las 68 648 009 cuentas vinculadas a la filtración de datos de Dropbox. Este resultado no significa que se hayan filtrado sus archivos, documentos privados o información de pago. Los campos de datos verificados son la dirección de correo electrónico y el hash de contraseña con sal. En primer lugar, recuerde la contraseña que utilizaba en Dropbox en aquel momento y compruebe si esa misma contraseña, o una similar, sigue activa en otras cuentas.

Si su cuenta de Dropbox sigue en uso, utilice una contraseña única, active la verificación en dos pasos y revise los dispositivos conectados y los enlaces para compartir. Si su antigua contraseña de Dropbox ha aparecido en otros servicios, cambie también la contraseña en esos servicios. Proteja especialmente su cuenta de correo electrónico, porque el proceso de recuperación de otras cuentas suele comenzar allí. La forma adecuada de abordar este incidente no es alarmarse dando por hecho que se han filtrado archivos, sino reducir de manera sistemática el riesgo a largo plazo para la seguridad de las cuentas que surge de la combinación de correo electrónico y contraseña.