¿Qué es una filtración de contraseñas?
Una filtración de contraseñas ocurre cuando las contraseñas u otras credenciales de una cuenta quedan expuestas a una persona no autorizada o se obtienen mediante un incidente de seguridad.
Una filtración puede ocurrir cuando un servicio en línea se ve comprometido y la información almacenada por ese servicio es robada. Las credenciales también pueden quedar expuestas mediante phishing, malware, software malicioso u otros ataques dirigidos directamente contra los usuarios.
Una filtración no significa necesariamente que todas las contraseñas pertenecientes a todos los usuarios hayan quedado expuestas. La información afectada depende del incidente concreto y de los sistemas implicados.
¿Cómo ocurren las filtraciones de contraseñas?
Hay muchas formas en las que las credenciales pueden quedar expuestas. Algunos ejemplos comunes incluyen:
- Servicios comprometidos — Un atacante obtiene acceso no autorizado a los sistemas o bases de datos de una empresa.
- Phishing — Un usuario es engañado para introducir sus credenciales en un sitio web o una aplicación fraudulenta.
- Malware — El software malicioso puede capturar potencialmente las credenciales introducidas en un dispositivo infectado.
- Relleno de credenciales — Se prueban nombres de usuario y contraseñas robados anteriormente en otros sitios web.
- Prácticas de seguridad deficientes — Los sistemas con una protección inadecuada o las credenciales gestionadas incorrectamente pueden aumentar el riesgo de acceso no autorizado.
¿Qué ocurre con las contraseñas robadas?
Las credenciales robadas pueden utilizarse para intentar acceder a la cuenta afectada o a otras cuentas pertenecientes a la misma persona.
Esta es una de las razones por las que reutilizar contraseñas es especialmente peligroso. Si se utiliza la misma contraseña en varios servicios y esa contraseña queda expuesta en una filtración, los atacantes pueden intentar utilizarla en otros lugares.
Los ataques automatizados pueden probar grandes cantidades de combinaciones de nombres de usuario y contraseñas expuestas anteriormente contra servicios populares en línea. Este tipo de ataque se conoce comúnmente como relleno de credenciales.
Por qué reutilizar contraseñas empeora las filtraciones
Considere un ejemplo en el que alguien utiliza la misma contraseña para una cuenta de compras en línea, una cuenta de redes sociales y su cuenta de correo electrónico.
Si el servicio de compras sufre una filtración y esa contraseña llega a conocerse, el atacante ahora tiene una contraseña que también podría funcionar en las otras cuentas.
Utilizar una contraseña diferente para cada cuenta importante limita el daño que puede resultar de una sola contraseña expuesta.
Puede obtener más información sobre este tema en nuestro artículo: Por qué nunca debe reutilizar contraseñas .
¿Qué ocurre si las contraseñas están cifradas mediante hash?
Muchos servicios en línea no almacenan las contraseñas de los usuarios en texto plano. En su lugar, normalmente procesan las contraseñas mediante técnicas de hash antes de almacenarlas.
El hashing y el cifrado son tecnologías diferentes. El cifrado está diseñado para que los usuarios o sistemas autorizados puedan descifrar la información original utilizando la clave adecuada. Un sistema de hash de contraseñas correctamente diseñado tiene como objetivo dificultar la recuperación de la contraseña original a partir del hash almacenado.
Sin embargo, una filtración puede seguir siendo grave incluso cuando las contraseñas están protegidas mediante hash. Los atacantes pueden intentar adivinar contraseñas y comparar los hashes resultantes con los hashes de contraseñas robados. Las contraseñas débiles o utilizadas habitualmente pueden ser especialmente vulnerables a estos ataques.
¿Cómo puede saber si una contraseña ha sido filtrada?
Algunos servicios notifican a los usuarios cuando una cuenta se ha visto afectada por un incidente de seguridad. Los investigadores de seguridad y los servicios de notificación de filtraciones también pueden proporcionar información sobre filtraciones de datos conocidas.
Algunos gestores de contraseñas incluyen funciones de supervisión de filtraciones o comprobación de contraseñas que pueden ayudar a identificar contraseñas asociadas con filtraciones conocidas.
Tenga en cuenta que ninguna base de datos de filtraciones puede garantizar que contenga todas las credenciales que se hayan expuesto. La ausencia de una contraseña en una base de datos concreta no demuestra que esa contraseña nunca haya sido expuesta.
¿Qué debe hacer después de una filtración de contraseñas?
Si descubre que una cuenta se ha visto afectada por una filtración, cambie la contraseña de esa cuenta tan pronto como sea posible.
Si reutilizó esa contraseña en algún otro lugar, cambie también esas contraseñas. Cada cuenta debe tener su propia contraseña única.
También debería considerar activar la autenticación multifactor cuando el servicio la admita. Esto proporciona un factor de autenticación adicional además de la contraseña.
En el caso de cuentas importantes, como su cuenta de correo electrónico principal, tenga especial cuidado. Su cuenta de correo electrónico puede utilizarse para restablecer las contraseñas de muchos otros servicios.
¿Cómo puede ayudar un gestor de contraseñas?
Recordar una contraseña segura y diferente para cada cuenta puede ser difícil. Un gestor de contraseñas puede generar y almacenar de forma segura contraseñas únicas para que usted no tenga que memorizarlas todas.
En lugar de crear variaciones predecibles de la misma contraseña, puede utilizar una contraseña generada aleatoriamente y diferente para cada servicio.
Si un servicio sufre una filtración, la contraseña expuesta será menos útil contra sus otras cuentas, ya que las demás cuentas utilizan credenciales diferentes.
¿Qué es un análisis de filtraciones?
Algunos gestores de contraseñas ofrecen una función conocida comúnmente como análisis de filtraciones. Este tipo de función puede comparar información asociada con sus contraseñas almacenadas con información de filtraciones conocidas.
Se pueden utilizar métodos que preservan la privacidad para realizar estas comprobaciones sin enviar la contraseña completa a un servicio externo. Un ejemplo es la k-anonimidad, que permite a un sistema realizar determinadas comprobaciones de filtraciones sin transmitir directamente la contraseña completa.
La implementación exacta varía según el producto, por lo que conviene comprobar cómo realiza un gestor de contraseñas concreto sus análisis de filtraciones y qué información sale del dispositivo.
Filtraciones de contraseñas y KeenPassword Vault
KeenPassword Vault incluye una función de Análisis de filtraciones diseñada para ayudar a identificar contraseñas asociadas con datos de filtraciones conocidos.
El análisis utiliza un método basado en k-anonimidad. Sus contraseñas reales y su clave maestra no se envían a través de la red durante la comprobación de filtraciones.
KeenPassword Vault también está diseñado como un gestor de contraseñas 100 % sin conexión. Su bóveda permanece almacenada localmente en su ordenador Windows en lugar de sincronizarse con una cuenta en la nube.
Mantener contraseñas únicas, utilizar credenciales seguras y comprobar periódicamente si han sido expuestas son prácticas útiles para mantener una buena seguridad de las contraseñas.
En resumen
Una filtración de contraseñas puede exponer credenciales que los atacantes podrían intentar utilizar contra la cuenta afectada o contra otras cuentas.
Una de las formas más eficaces de reducir el impacto de una contraseña filtrada es utilizar una contraseña única para cada cuenta. Un gestor de contraseñas puede facilitar esto al generar y almacenar contraseñas seguras y únicas.
Si una cuenta se ve afectada por una filtración, cambie su contraseña, cambie cualquier contraseña reutilizada en otros lugares y considere activar la autenticación multifactor cuando esté disponible.