Apropiación de cuentas y filtraciones de datos

Módulo 1: Por qué usted es un objetivo · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Después de esta lección podrá explicar cómo se reutilizan las credenciales de acceso robadas y qué ocurre con los datos filtrados.
Conceptos clave: apropiación de cuentas, credential stuffing, infostealer, cookie de sesión, filtración de datos, datos personales, lista combo

Iniciar sesión en lugar de entrar por la fuerza

La forma más fácil de entrar en un sistema no es buscar una brecha, sino simplemente iniciar sesión. Quien tiene su dirección de correo electrónico y su contraseña no necesita hackear nada. Para el sistema, sencillamente es usted. Esto se llama apropiación de cuentas: otra persona toma el control de una cuenta y la utiliza como si fuera el propietario.

Para una pequeña empresa, la bandeja de entrada es la cuenta más importante. Quien tenga acceso a su correo puede:

• mediante la opción "he olvidado mi contraseña", restablecer las contraseñas de casi todas sus demás cuentas;
• leer su correo y enviar una factura falsa justo en el momento oportuno (lección 1.2);
• enviar correos en su nombre a clientes que confían en usted;
• configurar una regla de reenvío, de modo que siga recibiendo una copia de todo el correo sin que usted se dé cuenta, incluso después de cambiar la contraseña (lección 2.5).

Pero ¿cómo consigue un atacante su contraseña? Hay tres vías principales: usted mismo la introduce en un sitio falso (phishing, módulo 3), se filtra en otro servicio en el que también la había usado, o un programa malicioso en su ordenador la roba. Las dos últimas las tratamos aquí.

Credential stuffing: una filtración, probada en todas partes

Los sitios web son hackeados con regularidad. En una filtración de este tipo suelen quedar expuestos los correos electrónicos y contraseñas de los usuarios, a veces de forma legible, a veces en una forma que se puede descifrar con suficiente potencia de cálculo. Estos datos se recopilan, combinan y comercializan en enormes listas de direcciones de correo con contraseñas: las listas combo.

Con una lista así, un atacante realiza credential stuffing: prueba automáticamente cada par de correo electrónico y contraseña en otros servicios. OWASP, una conocida organización abierta de seguridad web, lo describe como la introducción automatizada de credenciales robadas para obtener acceso a cuentas. Funciona por una sola razón: las personas usan la misma contraseña en varios sitios.

Un ejemplo. Petra, de la Panadería Example, creó hace años una cuenta en una tienda online de utensilios de repostería, con info@example.com y la contraseña que entonces usaba para todo. Esa tienda online es hackeada. Un año después, su combinación aparece en una lista combo. Un programa la prueba en una sola noche en:

Petra no nota nada: no ha visto ningún correo de phishing ni ha hecho clic en nada. Las lecciones que se extraen de esto: una contraseña única por servicio evita que una sola filtración se propague (lecciones 2.1 y 2.2), y la verificación en dos pasos detiene a un atacante que sí tenga la contraseña correcta (lección 2.3). Usted mismo puede comprobar en https://haveibeenpwned.com si su dirección de correo aparece en una filtración conocida.

Un error habitual es crear un "sistema" para variar contraseñas: Bakkerij2025! para el correo y Bakkerij2025!boekhouding para la contabilidad. Los programas que usan listas combo también prueban este tipo de variantes tan predecibles.

Infostealers: la contraseña directamente desde su ordenador

Un infostealer es un software malicioso que recopila datos de su ordenador y los envía al atacante. Microsoft describe que los infostealers extraen de los navegadores, entre otras cosas, nombres de usuario y contraseñas guardados, cookies de sesión, datos de formularios autocompletados y datos de tarjetas de crédito. Este tipo de programa se cuela, por ejemplo, mediante una descarga falsa ("versión gratuita de un programa de pago"), un archivo adjunto, un anuncio falso o un sitio que pide copiar y pegar un comando "para solucionar un problema".

Un infostealer suele actuar en pocos minutos y luego desaparece. El botín, un llamado registro (log) con todos los datos de ese ordenador concreto, se vende. A veces se utiliza años después.

Por qué una cookie de sesión es tan peligrosa

Cuando inicia sesión en un sitio web, con contraseña y verificación en dos pasos, su navegador recibe una cookie de sesión: un pequeño archivo que, en cada solicitud posterior, demuestra que ya ha iniciado sesión. Así no tiene que volver a introducir su código en cada clic.

Quien roba esa cookie puede colocarla en su propio navegador y entonces también queda conectado. No necesita su contraseña ni su segundo factor, porque el inicio de sesión ya se ha producido. MITRE ATT&CK, una base de conocimiento pública sobre técnicas de ataque, lo expresa literalmente: las cookies de sesión pueden usarse para eludir algunas formas de autenticación multifactor.

Qué ayuda contra los infostealers y las cookies robadas:

• no instalar software de fuentes desconocidas, y no trabajar con una cuenta de administrador, para que la instalación no sea tan sencilla (lección 5.2);
• mantener actualizado su sistema operativo y su navegador (lección 5.1);
• tras una infección, primero limpiar el ordenador o reinstalarlo, después cambiar las contraseñas desde un dispositivo limpio y revocar todas las sesiones, para que las cookies robadas dejen de ser válidas (lecciones 2.5 y 3.5);
• métodos de inicio de sesión resistentes al phishing, como las passkeys, que hacen imposible robar credenciales a través de sitios falsos (lección 2.4).

Qué es una filtración de datos

Hasta ahora hemos hablado de sus propias cuentas. Pero si un atacante entra en su correo, su contabilidad o su tienda online, también ve datos de otras personas: clientes, empleados, socios. Entonces se produce una filtración de datos.

El RGPD define los datos personales como toda información sobre una persona identificada o identificable: un nombre, una dirección de correo, un número de teléfono, una dirección, pero también un número de cliente que se pueda vincular a una persona. Una filtración de datos (en el RGPD: una violación de la seguridad de los datos personales, artículo 4, punto 12) es una violación de la seguridad que ocasiona, de forma accidental o ilícita, la destrucción, pérdida, alteración, comunicación o acceso no autorizados a datos personales.

Una filtración de datos no tiene por qué ser un hackeo. Esto también puede ser una filtración de datos:

• un correo con una lista de clientes enviado al destinatario equivocado;
• un portátil robado o perdido sin cifrar;
• un enlace compartido a una carpeta con currículums que queda público en internet;
• una bandeja de correo apropiada que contiene facturas con nombres y direcciones;
• archivos cifrados por ransomware de los que no tiene copia de seguridad (destrucción y pérdida).

Una filtración de datos conlleva obligaciones: registra cada filtración de datos en un registro de filtraciones, la notifica en un plazo de 72 horas a la autoridad de protección de datos competente, salvo que sea improbable que suponga un riesgo para los interesados, y, en caso de riesgo alto, también informa a las propias personas afectadas. Cómo funciona esto exactamente lo aprenderá en la lección 8.2. Por ahora, es importante que no vea una apropiación de cuenta únicamente como "nuestro problema": a menudo también afecta a las personas de las que tiene datos.

Qué ocurre con los datos filtrados

Los datos filtrados no desaparecen. Se copian, se combinan y se revenden. Por eso una filtración tiene consecuencias que perduran mucho tiempo:

• Reutilización: las contraseñas acaban en listas combo para credential stuffing.
• Phishing más eficaz: con su nombre, sus clientes y su último pedido, un estafador elabora un correo convincente. Un cliente que, la semana después de una filtración en su tienda online, recibe un "recordatorio de pago" suyo, paga con más rapidez.
• Fraude de identidad: con suficientes datos sobre una persona, un estafador puede abrir cuentas o hacerse pasar por ella.
• Extorsión: "pague, o les contamos a sus clientes que sus datos se filtraron con usted" (lección 1.3).

Por eso conservar menos datos también es una medida de seguridad. Los datos que no tiene tampoco pueden filtrarse.

Resumen

• En una apropiación de cuenta, el atacante simplemente inicia sesión; la bandeja de correo es la cuenta más importante, porque con ella se restablecen otras contraseñas.
• El credential stuffing prueba automáticamente combinaciones filtradas de correo electrónico y contraseña, extraídas de listas combo, en otros servicios; las contraseñas únicas y la 2FA lo frenan.
• Los infostealers roban contraseñas y cookies de sesión del navegador; con una cookie robada un atacante puede eludir parte de la 2FA, así que tras una infección revoque todas las sesiones.
• Una filtración de datos es cualquier violación de la seguridad de datos personales, incluso un correo enviado por error o un portátil perdido.
• Los datos filtrados se reutilizan para nuevos ataques; conservar menos datos significa menos riesgo.

Cuestionario

Ejercicio

Ejercicio A1.4: Una filtración, ¿qué cuentas corren peligro? Recibirá un resumen de las cuentas de una pequeña empresa: qué contraseña (indicada como W1, W2, etcétera, nunca una contraseña real) corresponde a cada servicio, y si la verificación en dos pasos está activada. Después se filtra un servicio. Indique qué cuentas corren peligro de inmediato, en qué orden las aborda y si se trata de una filtración de datos. El programa lo corrige y lo explica.

Más información

Los pasos de los artículos de WebOké son válidos para el entorno de WebOké; en otros proveedores funciona de forma similar.

• Manual de DirectAdmin 3.7: Contraseñas seguras y qué hacer en caso de filtración de una contraseña
• Manual de WebOké 3.6: Ver y cerrar sesiones activas
• Have I Been Pwned (compruebe usted mismo si su dirección de correo aparece en una filtración conocida): https://haveibeenpwned.com
• OWASP, Credential stuffing (en inglés): https://community.owasp.org/attacks/Credential_stuffing
• MITRE ATT&CK, Steal Web Session Cookie (en inglés): https://attack.mitre.org/techniques/T1539/
• RGPD (Reglamento (UE) 2016/679), texto oficial: https://eur-lex.europa.eu/eli/reg/2016/679/oj