Descubren una base de datos con 1.400 millones de contraseñas en texto plano

Las filtraciones masivas de contraseñas se han convertido en uno de los mayores escándalos de los últimos años contra la privacidad de los usuarios en Internet. Las 3.000 millones de contraseñas de Yahoo son un número difícil de superar, pero ha dejado un margen muy grande para que otras incidencias de menor envergadura dejen en evidencia o comprometidos a cientos de millones de usuarios de todo el mundo.

Unos investigadores de la firma de seguridad 4iQ han descubierto una base de datos en la dark web con 1.400 millones de nombres de usuario y contraseñas en texto plano. La base de datos, que también se distribuye mediante torrent, fue encontrada el 5 de diciembre en un foro. Según el jefe de tecnología y fundador 4iQ, Julio Casal, es la más grande agregación de varias filtraciones hallada en la dark web hasta el día de hoy.

Aunque se distribuye sobre todo por la dark web, hubo alguien que publicó un enlace hacia la base de datos en la red social Reddit para que los usuarios pudiesen comprobar su autenticidad, ya que no sería la primera vez que se filtran datos que luego son falsos. Los investigadores de 4iQ descubrieron en enorme fichero de 41GB con 1.400 millones de nombres de usuarios, emails y contraseñas, los cuales estaban fragmentados, almacenados y ordenados alfabéticamente en árboles de directorios de dos y tres niveles.

Según se ha podido saber, este enorme fichero fue actualizado por última vez el pasado mes de noviembre, y aunque la mayoría no son datos nuevos, sí proceden de una colección de 252 brechas de seguridad y listas de credenciales, entre los cuales se han encontrado sitios web, servicios y juegos como Bitcoin, Pastebin, LinkedIn, MySpace, Netflix, YouPorn, Last.FM, Zoosk, Badoo, RedBox, Minecraft, Runescape, Anti Public y Exploit.in.

El alivio para muchos usuarios en muchas ocasiones es que las contraseñas están cifradas, por lo que en caso de utilizar una fuerte cifrada con algún algoritmo fuerte se hace difícil su descubrimiento. Sin embargo, este no es el caso, ya que están en texto plano, dicho de otra forma, son las palabras introducidas por los usuarios y no los valores hash cifrados. Hablando de números, se han descubierto 385 millones de nuevos pares de credenciales, 318 millones de usuarios únicos y 147 millones de contraseñas.

La base de datos ha sido indexada alfabéticamente, por lo que se pueden averiguar cuantas contraseñas tiene un nombre de usuario. Por ejemplo, nombres de usuario como “admin”, “administrator” o “root” han devuelto 226.631 contraseñas en pocos segundos. Esto da una potente herramienta para los cibercriminales que quieran acceder a distintas plataformas, pudiendo elegir entre los resultados obtenidos de la base de datos o bien pasarlos por algún programa de fuerza bruta.

Entre las contraseñas más comunes, una vez más, nos encontramos con algunas tan débiles como “123456”, “123456789”, “qwerty”, “password”, “password1” y “111111”. Desde MuySeguridad recordamos nunca utilizar contraseñas débiles en sitios web expuestos a Internet, y en caso de gestionar una gran cantidad, recomendamos el uso de un gestor para no repetirlas y así garantizar su fortaleza.

De momento se desconoce quién es el autor (ya sea una persona o un grupo) de esta base de datos con 1.400 millones de contraseñas. Sin embargo, es un hecho que viene bien para recomendar el cambio de las contraseñas en caso de utilizarse algunas débiles y/o repetidas.