Más de 161 millones de identidades pwneadas en Internet

En muchas conferencias de las que he dado últimamente he hablado del sitio Have I been Pwned? que se dedica a recoger bases de datos de identidades expuestas en Internet tras el hackeo de sitios de renombre. En este sitio se encuentra, por ejemplo, la base de datos de Adobe con 152 millones de identidades, que es la más llamativa, pero también hay otras como una de Vodafone con algo más de 52 mil cuentas expuestas, la de Snapchat con más de 4 millones de identidades, la base de datos de Forrester y Gawker con algo más de 1 millón de cuentas cada una, etcétera.

Figura 1: Bases de Datos consolidadas en Have I been Pwned?

Al final, la lista alcanza los más de 161 millones de identidades en Internet, por lo que si alguien ha tenido la brillante idea de utilizar una cuenta de otro sitio para registrarse en los servicios hackeados y usar una contraseña repetida, entonces sus cuentas están en serio riesgo.

Figura 2: Cómo conquistar el mundo gracias al password reuse por XKCD

El servicio en cuestión de Have I been Pwned? permite realizar búsquedas de cuentas de correo electrónico en esa base de datos, para ver si alguna cuenta de correo electrónico ha aparecido en alguna de ellas. Yo he buscado por ejemplo admin@forbes.com y puedes ver que aparece expuesta en el incidente de hackeo de Forbes, lo que es hasta normal.

Figura 3: La identidad de admin@forbes.com aparece en la base de datos de Forbes

Lo que no es tan normal es que ma haya salido como resultado que la cuenta admin@sony.com no aparezca en la base de datos del hackeo Sony y sí por el contrario en la base de datos del hackeo de Adobe, como es el caso.

Figura 4: La cuenta de correo de admin@sony.com apareció en la base de datos de Adobe

Que el administrador de Sony ha utilizado su cuenta de correo para registrarse en Adobe es una mala idea, pero esperemos que al menos no haga reutilización de passwords ni tenga algún método de construcción de contraseñas similares al de Dan Kaminsky en su famoso pwnage... o que al menos use Latch }:)

Saludos Malignos!