Las credenciales vinculadas a aproximadamente 360 millones de cuentas de Myspace se están ofreciendo a la venta en un mercado delictivo en línea, lo que constituye una de las mayores colecciones de contraseñas robadas jamás reveladas y una advertencia de que las cuentas abandonadas pueden seguir siendo peligrosas años después de que los usuarios dejen de visitar el servicio.
Myspace informó que los datos filtrados incluyen direcciones de correo electrónico, nombres de usuario y contraseñas de cuentas creadas antes del 11 de junio de 2013, fecha en que la red social se relanzó con medidas de seguridad reforzadas. La compañía ha invalidado las contraseñas afectadas, está notificando a los usuarios y colabora con las autoridades. Time Inc., la empresa matriz de Myspace, confirmó la filtración el martes y declaró que otros sistemas, suscriptores y propiedades de Time no se vieron afectados.
Los relatos antiguos generan una crisis de seguridad actual
Se desconoce la fecha exacta de la intrusión. Myspace indicó que los registros provenían de su antigua plataforma, lo que significa que el robo pudo haber ocurrido años antes de que la base de datos saliera a la luz. El vendedor, que usa el nombre de usuario "Peace", ha sido vinculado recientemente con grandes colecciones de credenciales de LinkedIn y Tumblr.
Investigadores de seguridad que examinaron el archivo de Myspace afirman que contiene alrededor de 360 millones de cuentas y 427 millones de contraseñas, ya que algunos registros incluyen una contraseña secundaria. El análisis de Wired sobre la venta reveló que los datos se ofrecían por seis bitcoins, equivalentes a varios miles de dólares, en el mercado Real Deal.
Este episodio demuestra la discrepancia entre la percepción que tienen las personas sobre las cuentas inactivas y el valor que les otorgan los atacantes. Un usuario puede considerar irrelevante un perfil de redes sociales que lleva mucho tiempo sin usarse. Sin embargo, su dirección de correo electrónico, contraseña y nombre de usuario pueden convertirse en la clave para probar otros servicios. Si la contraseña se reutilizó, una brecha de seguridad en Myspace puede desbloquear una cuenta bancaria, de compras, de correo electrónico o de trabajo.
Según Variety , Time adquirió Myspace en febrero mediante la compra de Viant y tuvo conocimiento de la oferta de datos poco antes del fin de semana del Día de los Caídos. Este cambio de propiedad implica que la empresa hereda ahora las responsabilidades de seguridad generadas bajo los operadores anteriores.
Un hash débil facilita la recuperación de contraseñas
Las contraseñas no deben almacenarse como texto legible. Los servicios suelen transformarlas mediante una función hash criptográfica unidireccional y, posteriormente, comparan los hashes cuando los usuarios inician sesión. Sin embargo, la protección depende del algoritmo y de si cada contraseña recibe un valor aleatorio único ("salt") antes de aplicar la función hash.
Según se informa, las contraseñas de Myspace se almacenaban con el algoritmo SHA-1 sin sal, y solo se consideraban los primeros 10 caracteres tras convertir las letras a minúsculas. Este diseño reduce considerablemente el número de combinaciones posibles y permite a los atacantes probar rápidamente enormes diccionarios de contraseñas probables. Una contraseña larga con mayúsculas y minúsculas pierde gran parte de su ventaja cuando un sistema descarta caracteres y mayúsculas.
La cuenta de ESET WeLiveSecurity indicó que el equipo técnico de Myspace confirmó la autenticidad de la información ofrecida y que la empresa ahora utiliza hashes más robustos con doble sal. Las mejoras en el almacenamiento actual no pueden proteger retroactivamente la base de datos antigua una vez que los atacantes la obtienen.
Por lo tanto, la filtración tiene dos fechas: el momento desconocido en que se copiaron los registros y el momento actual en que se volvieron vulnerables a la explotación a gran escala. La divulgación no es el comienzo del incidente para Myspace, pero sí el comienzo del riesgo para muchas personas que desconocían que sus credenciales habían quedado expuestas.
Un conjunto de brechas revela un mercado más amplio
Los registros de Myspace aparecieron en medio de revelaciones que involucraban a otras redes que alguna vez fueron dominantes. LinkedIn restableció las contraseñas después de que los datos de una filtración de 2012 se expandieran de los 6,5 millones de cuentas inicialmente conocidas a aproximadamente 165 millones. Tumblr reveló que un incidente de 2013 expuso direcciones de correo electrónico y contraseñas cifradas; los investigadores ahora estiman que alrededor de 65 millones de cuentas estuvieron involucradas.
El informe de Wired sobre la venta de Tumblr señaló que sus contraseñas se habían cifrado con sal antes de aplicarles el hash, lo que las hacía más difíciles de descifrar que el archivo de Myspace, aunque seguían siendo valiosas para el phishing y la correlación de datos. La aparición simultánea de varias bases de datos antiguas sugiere que las credenciales robadas pueden circular de forma privada durante años antes de llegar al mercado público.
Este mercado secundario transforma la economía de una brecha de seguridad. Los atacantes no necesitan usar todas las cuentas personalmente. Pueden vender colecciones a remitentes de spam, ladrones de identidad y operadores que automatizan el "relleno de credenciales", es decir, probar la misma combinación de correo electrónico y contraseña en sitios web populares. La magnitud de 360 millones de registros hace que incluso una baja tasa de éxito resulte rentable.
Un informe de PYMNTS del 1 de junio destacó que la información comprometida provenía del sistema anterior a 2013 y que Myspace estaba monitoreando la actividad sospechosa. Sin embargo, monitorear únicamente el servicio afectado no permite detectar ataques a sitios web no relacionados, razón por la cual la reutilización de contraseñas representa el principal peligro.
Los usuarios deben responder más allá de Myspace
Quienes tenían una cuenta de Myspace antes de junio de 2013 deben cambiar la contraseña en todos los lugares donde la hayan reutilizado, comenzando por la cuenta de correo electrónico asociada. El acceso al correo electrónico es especialmente delicado, ya que puede utilizarse para restablecer contraseñas de otros servicios. Los usuarios deben crear una contraseña única para cada cuenta y activar la autenticación de dos factores cuando esté disponible.
Los gestores de contraseñas pueden generar y almacenar credenciales largas y aleatorias, lo que reduce tanto su reutilización como la necesidad de recordarlas. Por su parte, los servicios deberían utilizar funciones de hash de contraseñas deliberadamente lentas con valores únicos, monitorizar los intentos de inicio de sesión automatizados y admitir un segundo factor de autenticación.
La cuenta técnica de Hacker News informó que la base de datos incluye cientos de millones de hashes SHA-1 sin sal e instó a realizar cambios inmediatos en todos los sitios donde se repitiera una contraseña antigua de Myspace. El restablecimiento forzado de Myspace protege únicamente el inicio de sesión de Myspace.
La empresa afirmó que no se incluyó información financiera. Esta limitación reduce el riesgo de fraude directo, pero no hace que los registros sean inofensivos. Las direcciones de correo electrónico pueden servir para ataques de phishing dirigidos, los nombres de usuario conectan identidades en diferentes sitios web y las contraseñas revelan hábitos personales que los atacantes pueden aprovechar.
Las obligaciones de seguridad perduran más que la popularidad de un producto
Myspace era la principal red social estadounidense antes de que Facebook la superara. Su declive pudo haber reducido la frecuencia de uso, pero no eliminó la base de datos acumulada en su apogeo. Este incidente demuestra que las empresas mantienen la obligación de seguridad mientras conserven información personal, independientemente de si un servicio sigue siendo relevante culturalmente.
También plantea interrogantes sobre las adquisiciones. Los compradores obtienen no solo marcas y software, sino también registros históricos de usuarios, arquitectura de seguridad y vulnerabilidades no descubiertas. La debida diligencia debe tener en cuenta los sistemas que han sido retirados, ya que los atacantes pueden poseer copias incluso cuando la empresa ya no opera la plataforma original.
un informe contemporáneo sobre la respuesta de Myspace , todas las contraseñas afectadas conocidas habían sido invalidadas y se notificaría a los usuarios. Si bien estas medidas son necesarias, el daño más grave ahora escapa al control de Myspace.
La magnitud extraordinaria de la filtración se debe en parte al éxito que Myspace tuvo en el pasado. Cientos de millones de personas confiaron sus credenciales a la red y luego la abandonaron. Los datos, en cambio, perduraron. En una economía digital basada en cuentas duraderas e identificadores reutilizables, una contraseña olvidada puede seguir siendo valiosa para un atacante mucho después de que su propietario la haya olvidado.
