42 millones de correos electronicos y passwords en alojamiento gratuito
Se ha cargado una gran base de datos con direcciones de correo electrónico, contraseñas en texto sin cifrar y datos parciales de tarjetas de crédito a un servicio gratuito de alojamiento público
El número total de direcciones de correo electrónico y contraseñas de texto sin formato de la colección es 41826763 y se cargaron en el fichero anónima alojamiento kayo.moe servicio.
El operador del servicio de intercambio envió el conjunto a Troy Hunt, investigador de seguridad australiano y creador del sitio de índice de violación de datos Have I Been Pwned, para compararlo y comprobar si fue el resultado de una violación de datos desconocida.
Según el formato de los datos, Hunt cree que las listas están destinadas a ataques de relleno de credenciales, que combinan en una sola lista contraseñas y direcciones de correo electrónico crackeadas y las ejecutan automáticamente contra varios servicios en línea para secuestrar las cuentas de usuario que coinciden.
Los ataques de relleno de credenciales aprovechan el hecho de que los usuarios, por comodidad, es probable que reutilicen las credenciales en varios sitios web.
"Cuando saqué las direcciones de correo electrónico del archivo, encontré casi 42 millones de valores únicos. Tomé un conjunto de muestras y descubrí que el 89% de ellas ya estaban en HIBP, lo que significaba que había una cantidad significativa de datos que nunca antes había visto. . (Más tarde, después de cargar todo el conjunto de datos, esa cifra subió al 93%), "Hunt escribe en una publicación de blog (https://www.troyhunt.com/the-42m-record-kayo-moe-credential -stuffing-data /).
El investigador de seguridad pudo determinar que más del 91% de las contraseñas en el conjunto de datos ya estaban disponibles en la colección Have I Been Pwned. Puede consultar el servicio suyo aquí (https://haveibeenpwned.com/Passwords).
Hunt dice que los nombres de archivo en la colección no apuntan a una fuente en particular porque no hay un patrón único para las infracciones en las que aparecieron.
Durante años, los investigadores de seguridad han aconsejado a los usuarios que abandonen el hábito de reciclar contraseñas, específicamente para evitar ataques de relleno de credenciales.
Los cibercriminales intercambian bases de datos de credenciales a diario, no solo en la web oscura, sino también en foros de acceso público. Se basan en procesos automatizados para descifrar las contraseñas y probarlas en comparación con los servicios en línea.
El uso de un administrador de contraseñas que puede generar contraseñas únicas y sólidas para cada sitio que visite y activar la autenticación de dos factores (cuando sea posible) son buenas medidas contra este tipo de ataque.