James Thew - Fotolia

Noticias Manténgase informado sobre las más recientes actualizaciones de productos y noticias de tecnología empresarial.

Investigadores encuentran tesoro de 1,4 mil millones de credenciales

Los investigadores de seguridad han descubierto lo que se cree que es la base de datos agregada más grande encontrada en la web oscura hasta la fecha, lo que provocó nuevas llamadas para una gestión de identidad mejorada.

La firma de monitoreo de la web oscura 4iQ ha descubierto un archivo de datos de 41 GB que contiene 1.400 millones de credenciales de inicio de sesión, incluidos correos electrónicos y contraseñas en formato de texto claro.

Se cree que el caché de credenciales, recopilado de diversas fuentes y violaciones, es el más grande de su tipo, superando los 711 millones de credenciales de cuentas de correo electrónico descubiertas en agosto de 2017.

Las contraseñas parecen provenir de listas de credenciales como Anti Public, Exploit.in, así como también de botaderos de vulnerabilidades en LinkedIn, MySpace, Netflix, Bitcoin, Pastebin, Last.FM, Zoosk, YouPorn, Badoo, RedBox, Minecraft y Runescape.

"Ninguna de las contraseñas está encriptada, y lo que da miedo es que hayamos probado un subconjunto de estas contraseñas y la mayoría de ellas hayan sido verificadas como verdaderas", escribió 4iQ en una publicación de blog.

Según los investigadores, han descubierto una "base de datos agregada e interactiva" que permite búsquedas rápidas (respuesta de un segundo) y nuevas importaciones de brechas.

"Dado el hecho de que las personas reutilizan contraseñas en sus cuentas de correo electrónico, redes sociales, comercio electrónico, banca y trabajo, los hackers pueden automatizar el secuestro de cuentas o la adquisición de cuentas", dijo 4iQ.

Según los investigadores, la base de datos hace que encontrar contraseñas sea más rápido y fácil "que nunca antes” para los actores maliciosos, con una búsqueda de "administrador", "administrador" y "raíz" entregando 226.631 contraseñas utilizadas por los administradores en segundos.

Aunque la mayoría de las infracciones se conocen dentro de la comunidad de piratas informáticos y de violación, 4iQ dijo que 14% de las credenciales expuestas no habían sido desencriptadas previamente por la comunidad y ahora estaban disponibles en texto claro.

Según los investigadores, la base de datos se descubrió el 5 de diciembre en un foro comunitario clandestino y se actualizó por última vez el 29 de noviembre, pero no está claro quién es el responsable de la base de datos.

"Este nuevo incumplimiento agrega 385 millones de nuevos pares de credenciales, 318 millones de usuarios únicos y 147 millones de contraseñas pertenecientes a esos vertederos anteriores", dijo 4iQ.

La base de datos expone la tendencia común de las personas a reutilizar contraseñas simples y fáciles de recordar en diferentes plataformas, como "123456", "123456789", "qwerty" y "contraseña".

Philip Lieberman, presidente de Lieberman Software, dijo que la revelación de las bases de datos masivas de credenciales disponibles en la web oscura debería preocupar a los reguladores y gobiernos sobre sus políticas laxas respecto a contraseñas, especialmente aquellas usadas para acceso elevado.

"Las PCI DSS y otras normas regulatorias que solo requieren cambios de contraseña del administrador cada 90 días están fuera de contacto con la realidad. Del mismo modo, la obsesión de eliminar contraseñas de texto claro por auditores y analistas a través de ofuscación en lugar de mejoras tecnológicas consolida la realidad de que los procesos de TI actuales están fuera de sintonía con las amenazas de hoy", dijo.

Según Lieberman, TI debe someterse a una revolución en la administración de identidades al entregar la administración manual de identidades y contraseñas a sistemas automatizados de administración de identidades privilegiadas que pueden cambiar las contraseñas cada pocas horas, para eliminar cualquier valor de las credenciales robadas.

"Al agregar una capa adicional de autenticación multifactor sobre la parte superior de las contraseñas en constante cambio, TI puede lograr una seguridad real y destruir el valor de estos tesoros de credenciales robadas", dijo.

Profundice más

Inicie la conversación

Envíenme notificaciones cuando otros miembros comenten sobre este artículo.

Por favor cree un Nombre de usuario para poder comentar.

- ANUNCIOS POR GOOGLE

Close