El turbio mundo de las filtraciones de contraseñas y cómo saber si estás afectado

Cómo

Las contraseñas son cada vez más comunes y descubrir si las claves de tu propio reino han sido expuestas puede resultar difícil, a menos que sepas dónde buscar.

3 de junio de 2024
•
,
6 minutos de tiempo de lectura

Recientemente me encontréInforme sobre “la madre de todas las violaciones” – o más concretamente, la filtración de una enorme colección de datos robados en una serie de ataques a diversas empresas y servicios online, incluidos LinkedIn y Twitter (ahora X). Según se informa, el caché de datos incluía la asombrosa cifra de 26 mil millones de registros que contenían una variedad de información confidencial, incluidos datos gubernamentales y credenciales de personas.

Si bien esta no es la primera vez que se roba una gran cantidad de datos de usuarios, la gran cantidad de registros comprometidos superó todas las filtraciones conocidas anteriormente (y sus compilaciones). Sólo considere que el infame… Fuga de datos de Cam4 en 2020 casi 11 mil millones de conjuntos de datos de diversos tipos divulgados y el Violación de seguridad de Yahoo en 2013 los tres mil millones de cuentas de usuarios comprometidas. No olvidar: el que lleva el nombre adecuado Colección nº 1que se filtró a la Internet abierta en 2019, reveló 773 millones de nombres de usuario y contraseñas que habían sido robados previamente de varias organizaciones, seguido de Otras cuatro “colecciones” de este tipo apenas unas semanas después.

¿Adónde nos lleva esto? Quizás la conclusión más importante es que incluso si emplea estrictas medidas de seguridad personal, las credenciales de su cuenta aún pueden aparecer en dichas colecciones, particularmente debido a violaciones de seguridad en grandes empresas. Esto plantea la pregunta: ¿Cómo puede saber si sus credenciales se han visto comprometidas? Sigue leyendo.

Información de la empresa

El acuerdo puede estar sujeto a ciertas condiciones. los requisitos reglamentarios que les exigen revelar ataques de piratas informáticos y vulnerabilidades sin parches. En EE.UU., por ejemplo, las empresas que cotizan en bolsa están obligadas a informar de incidentes cibernéticos «significativos». la Comisión de Bolsa y Valores de EE. UU. (SEC) dentro de las 96 horas o cuatro días hábiles posteriores a su ocurrencia.

¿Cómo ayuda esto a la gente normal? Esta transparencia no sólo puede ayudar a aumentar la confianza de los clientes, sino también informarles si sus cuentas o datos se han visto comprometidos. Buscar Notificar a los usuarios sobre violaciones de datos por correo electrónicopero desde Presentaciones ante la SEC son públicos, usted puede enterarse de dichos incidentes a través de otras fuentes, tal vez incluso informes de noticias.

¿Me han hackeado?

La forma más sencilla de comprobar si algunos de sus datos, como su dirección de correo electrónico o una de sus contraseñas, quedaron expuestos en una violación de datos es visitar haveibeenpwned.com. El sitio ofrece una herramienta gratuita que puede indicarle cuándo y dónde aparecieron sus datos.

Simplemente ingrese su dirección de correo electrónico, haga clic en «pwned?» y ¡listo! Aparecerá un mensaje informándole del estado de seguridad de sus credenciales y la filtración exacta en la que quedaron atrapadas. Si tienes suerte, obtendrás un indicador verde que indica que no se ha realizado ningún pwnage. Los menos afortunados recibirán un indicador rojo que mostrará en qué violaciones de datos aparecieron sus credenciales.

navegador web

Algunos navegadores web, incluidos Google Chrome Y zorro de fuegopuede comprobar si sus contraseñas están incluidas en una violación de datos conocida. Chrome también puede recomendar contraseñas más seguras u ofrecer otras funciones para mejorar la seguridad de su contraseña a través de su módulo de administrador de contraseñas.

Sin embargo, es posible que quieras mejorar tu juego aún más y convertirte en un administrador de contraseñas dedicado que claramente se toma en serio la seguridad de los datos, incluso mediante un cifrado sólido. Estas herramientas son también a menudo incluido con software de seguridad multicapa probado.

Administrador de contraseñas

Los administradores de contraseñas son invaluables cuando necesita administrar una gran colección de credenciales, ya que no solo las almacenan de forma segura sino que también pueden generar contraseñas complejas y únicas para cada una de sus cuentas en línea. Sin embargo, no hace falta decir que debes utilizar una contraseña maestra segura pero fácil de recordar que contenga la clave de tu reino.

Por otro lado, estas bóvedas de contraseñas no son inmunes a los ataques y siguen siendo objetivos atractivos para actores maliciosos, por ejemplo debido a Ataques de relleno de credenciales o ataques que exploten vulnerabilidades en el software. Sin embargo, las ventajas son – a continuación Comprobación integrada de contraseñas comprometidas y la integración con sistemas de autenticación de dos factores (2FA) disponibles en muchas plataformas en línea hoy en día, superan los riesgos.

¿Cómo prevenir (el impacto de) las fugas de credenciales?

Entonces, ¿qué pasa con la prevención de fugas de datos? ¿Puede un usuario medio de Internet protegerse de las fugas de datos? Y si es así, ¿cómo? ¿Y cómo puedes proteger tus cuentas?

En primer lugar, y no podemos enfatizar esto lo suficiente, no confíe únicamente en las contraseñas. En su lugar, asegúrese de que sus cuentas estén protegidas por dos formas de identificación. Utilizar para este propósito Autenticación de dos factores (2FA) con cualquier servicio que lo permita, idealmente en forma de una clave de seguridad dedicada para 2FA o una aplicación de autenticación como Microsoft Authenticator o Google Authenticator. Esto hace que sea mucho más difícil para los atacantes obtener acceso no autorizado a sus cuentas, incluso si de alguna manera obtienen su(s) contraseña(s).

Otras lecturas: Microsoft: el 99,9 por ciento de las cuentas pirateadas no utilizaban MFA

En cuanto a la seguridad de la contraseña como tal, evite escribir sus inicios de sesión en papel o guardarlos en una aplicación para tomar notas. tambien es mejor Evite almacenar las credenciales de su cuenta en navegadores webque normalmente sólo guardan como archivos de texto simples, lo que los hace vulnerables a la filtración de datos por parte de malware.

Otros consejos básicos de seguridad de la cuenta incluyen el uso de contraseñas seguras, que dificultan que los estafadores puedan acceder a ellas. Ataques de fuerza bruta. Alejate de contraseñas simples y cortascomo una palabra y un número. En caso de duda, utilice esta herramienta ESET para generar sus contraseñas o verificar la seguridad de sus propias contraseñas.

Otras lecturas: ¿Con qué frecuencia deberías cambiar tus contraseñas?

También es una buena práctica. Usar frases de contraseñaque puede ser más seguro y más fácil de recordar. En lugar de combinaciones aleatorias de letras y símbolos, constan de una serie de palabras intercaladas con letras mayúsculas y posiblemente caracteres especiales.

Además, utilice una contraseña diferente para cada una de sus cuentas para evitar ataques como Relleno de credencialesque se aprovecha de la gente Preferencia por reutilizar las mismas credenciales a través de múltiples servicios en línea.

Un nuevo enfoque de autenticación se basa en inicios de sesión sin contraseñacomo por ejemplo Llave maestray también existen otros métodos de inicio de sesión, como tokens de seguridad, códigos de un solo uso o biometria para verificar la propiedad de la cuenta en múltiples dispositivos y sistemas.

Prevención por parte de la empresa

Las empresas necesitan invertir en soluciones de seguridad como Software de detección y respuestaque pueden prevenir violaciones e incidentes de seguridad. Además, las organizaciones deben ser proactivas. reducir su superficie de ataque y reaccionar tan pronto como se detecte algo sospechoso. La gestión de vulnerabilidades también es crucial porque vigilar las vulnerabilidades de software conocidas y solucionarlas de manera oportuna puede evitar que los ciberdelincuentes las exploten.

Mientras tanto, el siempre presente factor humano también puede desencadenar un compromiso, por ejemplo cuando un empleado abre un archivo adjunto de correo electrónico sospechoso o haga clic en un enlace. Por lo tanto el significado de Formación en sensibilización en ciberseguridad Y Punto final/Seguridad del correo No se puede subestimar.

Otras lecturas: Fortalezca el eslabón más débil: Los tres temas de seguridad más importantes para sus empleados

Toda empresa que se tome en serio la seguridad de los datos también debería tener una Prevención de pérdida de datos (DLP) e implementar una Política de respaldo sólida.

Además, el procesamiento de grandes cantidades de datos de clientes y empleados requiere procedimientos de cifrado estrictos. Local Cifrado Las credenciales pueden proteger estos datos confidenciales y dificultar que los atacantes sin acceso a las claves de cifrado correspondientes exploten la información robada.

Considerándolo todo, no existe una solución única para todos. Cada organización debe adaptar su estrategia de seguridad de datos a sus necesidades específicas y adaptarse al panorama de amenazas en evolución. Aun así, una combinación de las mejores prácticas de ciberseguridad puede contribuir en gran medida a prevenir violaciones y filtraciones de datos.