Operación Endgame

El conjunto de datos verificado contenía direcciones de correo electrónico y datos de contraseñas. Los datos proporcionados por las fuerzas del orden incluían 16 466 858 direcciones de correo electrónico únicas y aproximadamente 13,5 millones de contraseñas únicas. Las contraseñas se procesaron como hashes SHA-1 y NTLM, no como texto sin formato, y no aparecían junto a las direcciones de correo electrónico ni vinculadas a ellas por cuenta. Por tanto, el número de registros corresponde a direcciones de correo electrónico únicas, no a un número equivalente de personas distintas o de combinaciones de correo electrónico y contraseña. Las únicas categorías de datos confirmadas son las direcciones de correo electrónico y las contraseñas. La Operación Endgame no es una filtración de la base de datos de una empresa; se trata de un registro de un incidente relacionado con malware, elaborado a partir de datos incautados en distintas infraestructuras delictivas para que las posibles víctimas pudieran conocer su exposición.

A finales de mayo de 2024, fuerzas del orden de varios países y equipos del sector privado pusieron en marcha la acción coordinada de la Operación Endgame contra la infraestructura utilizada por cargadores de malware como IcedID, SystemBC, Pikabot, Smokeloader y Bumblebee. Se detuvo a cuatro personas y, en todo el mundo, más de cien servidores fueron desactivados o sufrieron interrupciones en su funcionamiento. A continuación, las direcciones de correo electrónico y los hashes de contraseñas encontrados en los datos incautados se transfirieron a un proceso seguro de notificación para que las posibles víctimas pudieran comprobar su exposición. Los hashes de contraseñas se desvincularon de las direcciones de correo electrónico, por lo que el conjunto de datos no permite determinar qué contraseña pertenecía a una dirección concreta. La fecha de referencia del 30 de mayo de 2024 corresponde a la divulgación pública de la operación y de la transferencia de datos. El registro no afirma que se vulnerara un sitio web concreto ni que todos los datos procedieran de una sola familia de malware.

El mayor riesgo afecta a las personas cuyos dispositivos pueden haber estado expuestos a actividad de botnets o malware y que reutilizaron una contraseña en varios servicios. Una coincidencia de correo electrónico por sí sola no demuestra que se publicara una contraseña concreta junto a esa dirección, que una cuenta siga comprometida hoy ni que el malware continúe ejecutándose en el dispositivo. Sin embargo, cualquier contraseña antigua que siga utilizándose en otras cuentas puede facilitar intentos automatizados de inicio de sesión y la toma de control de cuentas. La aparición de una dirección en datos vinculados a infraestructura delictiva también puede facilitar ataques de phishing dirigidos, alertas de seguridad falsas, trampas de restablecimiento de contraseñas y ofertas fraudulentas de limpieza de dispositivos. Cada resultado debe interpretarse teniendo en cuenta una limitación fundamental: el conjunto de direcciones de correo electrónico y el conjunto separado de contraseñas no estaban vinculados entre sí.

Si obtiene una coincidencia, proteja los dispositivos que utiliza antes de cambiar las credenciales; de lo contrario, el malware activo podría capturar las nuevas. Actualice el sistema operativo, el navegador y las aplicaciones, ejecute un análisis completo con un software de seguridad de confianza y elimine las extensiones del navegador, los elementos de inicio y las herramientas de acceso remoto que no reconozca. Si el comportamiento sospechoso continúa, desconecte el dispositivo y considere recurrir a un análisis profesional o realizar una instalación desde cero. Desde un dispositivo de confianza, cambie las credenciales de los servicios críticos, empezando por la cuenta de correo electrónico principal. Sustituya cada contraseña reutilizada por una contraseña exclusiva generada aleatoriamente; las pequeñas variaciones no son suficientes. Cierre las sesiones activas, revise las direcciones de recuperación y las reglas de reenvío, y active la autenticación multifactor o las claves de acceso cuando estén disponibles. Acceda a los servicios por su cuenta, en lugar de iniciar sesión mediante enlaces incluidos en mensajes de advertencia.

Utilice un gestor de contraseñas para crear una contraseña larga y exclusiva para cada cuenta, de modo que el robo de una contraseña no afecte a otros servicios. Dé preferencia a las llaves de seguridad resistentes al phishing o a las claves de acceso en las cuentas de correo electrónico, financieras y de administración. Mantenga activadas las actualizaciones automáticas, los cortafuegos y la protección en tiempo real, obtenga software solo de fuentes oficiales y evite ejecutar archivos adjuntos inesperados. Revise periódicamente las contraseñas guardadas en el navegador, las sesiones y las extensiones. Las organizaciones pueden reducir el impacto de la pérdida de credenciales causada por malware mediante protección gestionada de los dispositivos, registro centralizado de eventos, controles de acceso privilegiado y autenticación multifactor obligatoria. Las copias de seguridad sin conexión y comprobadas facilitan la recuperación cuando un cargador de malware da lugar a una infección por ransomware. No confíe en un remitente solo porque conozca una dirección de correo electrónico real; verifique los avisos de seguridad por un canal independiente y acceda por su cuenta al dominio conocido del servicio.

Utilice el campo de búsqueda seguro de esta página para comprobar cada dirección de correo electrónico, tanto actual como antigua, que utilizó durante el periodo de la Operación Endgame o en fechas cercanas. Una coincidencia significa que la dirección aparece entre las 16 466 858 direcciones de correo electrónico únicas transferidas a partir de la operación de las fuerzas del orden; no significa que un hash de contraseña concreto estuviera vinculado a esa dirección ni que su dispositivo esté infectado actualmente. Si obtiene un resultado, confirme la seguridad del dispositivo antes de dejar de reutilizar contraseñas antiguas; después, revise las sesiones del buzón y la configuración de recuperación, y active la autenticación multifactor en las cuentas importantes. Como las contraseñas se separaron de las direcciones en este conjunto de datos, evalúe la exposición de las contraseñas por separado mediante una comprobación que preserve la privacidad o un gestor de contraseñas de confianza. Nunca introduzca una contraseña, un hash de contraseña, un código de un solo uso ni datos de pago en el campo de búsqueda. Ningún resultado ofrece una garantía absoluta, ya que podría tratarse de otra dirección, de un conjunto de datos de malware no identificado o de otro incidente. Si un dispositivo presenta síntomas sospechosos, investigue el dispositivo además de cambiar las credenciales de las cuentas.