Descubierta una base de datos con 773 millones de direcciones de email robadas
- Vulnerabilidades
Collection No. 1 es una base de datos descubierta en Internet que incorpora 773 millones de direcciones de correo electrónico y más de 21.000 contraseñas únicas. Podría ser una de las mayores brechas de datos de la historia.
Las brechas de datos se suceden y hay quien dedica su tiempo a recopilar registros robados para crear una enorme base de datos que pone a disposición de quien quiera acceder a ellos. Es lo que ha pasado esta semana después de descubrirse un conjunto de documentos conocidos como Collection No. 1 disponibles públicamente.
El descubrimiento corre a cargo de Troy Hunt, experto en seguridad y propietario de Have I Been Pwned, una página web que permite a los usuarios saber si su dirección de email ha sido expuesta en alguna brecha de seguridad. Varios usuarios alertaron a Hunt de la presencia en Mega, un sitio de almacenamiento cloud, de Collection No. 1, una recopilación distribuida en 12.000 carpetas y 87GB.
Las contraseñas filtradas se han publicado en Pwned Passwords, un sitio que también pertenece a Troy Hunt y en el que los usuarios pueden verificar si sus contraseñas han sido expuestas en violaciones de datos.
Del total de datos expuestos, unos 140 millones de direcciones de correo electrónico y aproximadamente la mitad de las contraseñas filtradas son nuevas. Con los nuevos datos, Pwned Passwords ahora contiene más de medio billón de contraseñas filtradas.
Los datos recogidos en Collection No. 1 parecen provenir de muchas fuentes diferentes y según explica Hunt en un post, solo contiene contraseñas de texto sin formato, lo que lo hace ideal para ataques de Credential stuffing, o relleno de credenciales, que no es otra cosa que “la inyección automatizada de pares de nombre de usuario/contraseña robados para obtener acceso fraudulento a las cuentas de usuario”, explica Hunt.
Cualquier persona interesada en saber si sus datos podrían haber sido robados puede ir a Have I Been Pwned y verificar si su dirección de correo electrónico ha aparecido en una brecha de seguridad. El sitio web también incluye un servicio de notificación gratuito que informa a los usuarios cuando su dirección de correo electrónico aparece en una infracción. Según Hunt, de los 2,2 millones de personas que se suscribieron al servicio, 768.000 están en la nueva brecha.
"Lo interesante de Collection #1 no es tanto que se trate de una filtración masiva - después de todo, se trata más bien de una recopilación de fugas de datos que se han producido a lo largo del tiempo - es más, probablemente sea la primera vez que alguien publica información de usuario en volúmenes tan masivos en un sitio público. Esto significa que, incluso sin ser muy sofisticado, puedes conseguir millones de direcciones de correo electrónico y contraseñas en texto plano. Las empresas que intentan proteger a sus clientes online deben ser conscientes de que el grupo de infractores tienen la capacidad de lanzar un ataque de abuso de credenciales, y hay que estar preparados para defenderse no sólo contra el fraude de identidad, sino también contra incidentes accidentales de denegación de servicio causados por un número abrumador de nuevos atacantes" dijo Bernd Koenig, Director de Productos de Seguridad de Akamai.
