Una filtración masiva de datos expone 184 millones de contraseñas de Google, Microsoft, Facebook y más [ENG]

El investigador de ciberseguridad Jeremiah Fowler reveló el descubrimiento de una enorme base de datos en línea con más de 184 millones de credenciales de cuentas únicas. Nombres de usuario, contraseñas, correos electrónicos y URL de diversas aplicaciones y sitios web, como Google, Microsoft, Apple, Facebook, Instagram y Snapchat, entre otros, estaban almacenados en un archivo. ¿El problema? El archivo no estaba cifrado. Sin protección por contraseña. Sin seguridad. Solo un archivo de texto sin formato con millones de datos confidenciales.

[#1 sorrillo]

No me gusta nada la redacción, parece insinuar que Google, Microsoft o Facebook guardan sus contraseñas sin cifrar y eso es harto improbable.

Lo que debe haber ocurrido es que a gente que utiliza la misma contraseña en Google que en el foro de amigos del tren les han robado las contraseñas en un foro de ese tipo. O que les han introducido un malware que roba las contraseñas en su ordenador.

Luego el atacante habrá automatizado probar esas contraseñas en esos sitios que cita la noticia y habrá identificado las de aquellos que reutilizan las contraseñas como válidas.

[#2 frg]

#1 Si lees ves que la filtración procede de un software de robo de contraseñas, no de volcados de las base de datos, donde seguro los datos están cifrados.

[#8 torrrquemada]

#2 Probablemente las contraseñas coincidirán estar en el mítico archivo de contraseñas "rockyou.txt".

[#9 Nouveau]

#1 yo compré hace poco un móvil nuevo y mi sorpresa fue que accedí a mi cuenta Google sin poner la contraseña. Me diréis que es imposible pero yo me quedé de piedra.
Y lo más jodido es que no me llegó la notificación al móvil antiguo de que un dispositivo está intentando o ha accedido a tu cuenta.

Quien se lo quiera creer que se lo crea.

[#10 slepo]

#9 de qué marca? El móvil antiguo era de la misma marca?

[#12 sorrillo]

#9 Posiblemente te ofreciera traspasar los datos del antiguo móvil al nuevo, durante ese proceso ya te autentificas en el antiguo con patrón o autenticación biométrica.

[#15 Nylo]

#9 en efecto, es imposible.

[#16 pawer13]

#15 #9 es una funcionalidad nueva de android: lq conozco porque los youtubers que prueban móviles están encantados con ella porque al migrar a un nuevo móvil también se migran los tokens de sesión, con lo que sigues logado en y cualquier aplicación que generalmente uses sin tener que logarte manualmente en cada una de ellas.

[#17 Nylo]

#16 para poder migrar tu anterior android tienes que logarte primero en google. Me puedo creer que haya muchas otras contraseñas que no hayas tenido que meter porque ya estaban metidas en el anterior, y apps que no hayas tenido que descargar manualmente, pero la de google en particular, no.

[#18 pawer13]

#17 si usas el cable para conectar los dos móviles, ni siquiera hace falta eso: el antiguo móvil copia todo al nuevo

[#13 avalancha971]

#1 Ya me extrañaba a mi que esas empresas guardaran la contraseña y no el hash.

[#19 azenbugranto]

#13 #1 Si guardan el hash, deberían hacerlo con un "salteado" aleatorio previo, de forma que la misma contraseña en el grupo de amigos de los trenes y en google produzca un hash distinto.

[#20 sorrillo]

#19 Claro, pero es más probable que el del foro de los amigos del tren las guarde en texto plano a que lo haga Google.

[#3 GanaderiaCuantica]

Entiendo que no es una “filtración masiva” sino una recopilación de contraseñas robadas por distintos medios a miles de usuarios…

[#4 mecha]

#3 tengo un correo chorra (lleno de spam) que uso para entrar a todos esos foros a los que no pienso volver y cualquier página que me importe poco. Hace ya muchos años se ha filtrado mi contraseña de varios portales (hay páginas en que se pueden comprobar). Pues no he notado nunca, entre los que entro a veces, que alguien haya querido entrar siquiera.

Supongo que si no es la clave del correo o del banco no interesa nada.

[#7 Acido_1]

#4
Si solo usas esa dirección de email para entrar en foros
¿Cómo podrías notar de alguna forma que alguien intentase entrar?

Es decir, si fuese un email asociado a tu número de teléfono podría enviarte un SMS, o una notificación push de la App de Gmail... Pero si solo puede enviar un email a esa cuenta de Gmail, el atacante puede borrar ese email de aviso y cuando entras tú no verías nada.

Por otro lado, que a ti en una cuenta secundaria que usas para cosas digamos poco importantes no te…   

[#14 mecha]

#7 claro que es una muestra sesgado. No estoy exponiendo una hipótesis, solo comparto una experiencia personal.
Y ya me imagino que si tuviera la cuenta del banco filtrada alguien habría intentado entrar (con decepcionante resultado).

Digo que no han entrado nunca porque nunca me ha llegado el email de un nuevo acceso que no fuese mío (tengo el email en el móvil, aunque lo borren vería la notificación), y tampoco he notado que alguien entre y cambie la contraseña o haga uso alguno de la cuenta. También reviso a veces (en los portales que lo muestran) el último acceso a ver si veo algo raro y nunca noto nada. Estoy hablando de una contraseña filtrada hace más de 10 años.

[#5 Malinke]

No leí el envío, pero supongo que será una cesión de datos a las IA pertinentenetes sin que parezca una cesión de datos.
No es que una IA gane nada con tener esos datos, creo, pero ya los tienen, ya los usarán.

[#11 Nouveau]

#1el viejo Xiaomi el nuevo oppo

[#21 mariopg]

el día que tengan que compensar económicamente al usuario dejan de filtrarse datos