¿Filtrados? Cómo comprobarlo y recuperarse

Módulo 2: Contraseñas e inicio de sesión · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: Después de esta lección podrá comprobar usted mismo si sus datos están en una filtración, reaccionar en el orden correcto ante una filtración, y recuperar y limpiar una cuenta que haya sido tomada por otra persona.

Conceptos clave: Have I Been Pwned, k-anonimato, notificaciones de filtraciones, revocar sesiones, cookie de sesión, datos de recuperación, reglas de reenvío

Cómo se entera de que algo se ha filtrado

A menudo no se entera. Una contraseña filtrada puede estar meses en una lista combinada antes de que alguien la pruebe. Por eso, preste atención a estas señales:

• Un servicio le envía un correo diciendo que ha habido una filtración de datos. Compruebe primero si ese correo es auténtico (módulo 3): acceda usted mismo al sitio en lugar de hacer clic en el enlace.
• Recibe un código de inicio de sesión o una notificación de aprobación que usted no ha solicitado (lección 2.3).
• Ve un aviso de "nuevo inicio de sesión desde un dispositivo desconocido".
• Sus clientes o compañeros reciben correos extraños "suyos", o a usted le falta algún correo que sí se envió.
• Su gestor de contraseñas le avisa de que una contraseña aparece en una filtración.
• De repente no puede iniciar sesión, o sus datos de recuperación han cambiado.

Compruébelo usted mismo con Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) es un servicio conocido y gratuito que recopila datos de filtraciones públicamente conocidas. Puede buscar usted mismo su dirección de correo electrónico. Verá en qué filtraciones aparece esa dirección y qué tipo de datos se vieron afectados: solo direcciones de correo, o también contraseñas, nombres, números de teléfono o direcciones. Con la función "Notify me" recibirá un correo si su dirección aparece en una nueva filtración.

Haga esto usted mismo, en el sitio del servicio. En este curso nunca le pediremos que introduzca su dirección de correo o su contraseña en ningún sitio.

También existe una parte llamada Pwned Passwords, con la que los gestores de contraseñas y los sitios web comprueban si una contraseña se ha filtrado alguna vez. Esto funciona mediante k-anonimato: su contraseña se convierte en su propio dispositivo en un hash (una especie de huella digital) y solo los primeros 5 caracteres de ese hash se envían al servicio. El servicio devuelve todos los hashes conocidos que empiezan por esos 5 caracteres, y su propio dispositivo comprueba si su hash completo está entre ellos. Por lo tanto, el servicio nunca llega a ver su contraseña y ni siquiera sabe cuál de los cientos de hashes devueltos es el suyo.

Dos matizaciones:

• No aparecer en la lista no significa que esté seguro. Una filtración que (todavía) no se conoce no aparece en ella. Los infostealers (lección 1.4) también roban contraseñas que nunca llegan a una filtración publicada.
• Aparecer en la lista no significa que todo esté perdido. Observe qué datos se filtraron y cuándo. Una contraseña que lleva años sin usar no es un problema; una que todavía usa en todas partes, sí.

Qué hacer primero después de una filtración

El orden importa. La regla más importante: primero su correo electrónico, porque con su buzón de correo un atacante puede tomar casi todas sus demás cuentas mediante la opción "olvidé mi contraseña".

Por qué revocar las sesiones

Cuando inicia sesión, su navegador recibe una cookie de sesión: una especie de comprobante de acceso temporal, para que no tenga que iniciar sesión de nuevo con cada clic. Quien tenga esa cookie está conectado. Sin contraseña y sin segundo paso.

Eso es exactamente lo que roban los infostealers: no solo sus contraseñas, sino también sus cookies. Y un atacante que haya iniciado sesión con su contraseña también tiene una sesión. Si solo cambia su contraseña, esa sesión sigue funcionando en algunos servicios.

Por eso, después de una filtración o un inicio de sesión sospechoso, revise en cada servicio importante el resumen de sesiones activas o dispositivos, y cierre sesión en todo lo que no reconozca, o en todo excepto el dispositivo desde el que está trabajando ahora. En muchos servicios, una nueva contraseña también le desconecta de todas partes; compruébelo de todos modos.

La regla de reenvío como puerta trasera

Un caso típico de cómo suele ocurrir. La contable de Panadería Ejemplo hace clic en un correo de phishing e introduce su contraseña de correo. El atacante inicia sesión en factuur@example.com y hace tres cosas:

1. Crea una regla: todo correo con "factura", "pago" o "IBAN" en el asunto se reenvía a una dirección externa en leverancier-administratie.example y después se envía a la papelera.
2. Pone su propio número de teléfono como número de recuperación.
3. Cierra sesión de nuevo.

La contable nota que algo va mal y cambia su contraseña. Problema resuelto, piensa. Pero la regla sigue funcionando. El atacante lee durante semanas todas las facturas, y un día un cliente recibe una factura "modificada" con un IBAN distinto (lección 1.2). Mediante el número de recuperación, también puede recuperar la cuenta más adelante.

Por eso, en un buzón de correo compruebe siempre:

• reglas y filtros: sobre todo las que reenvían o eliminan correo;
• el reenvío en los ajustes del buzón y en el panel de alojamiento;
• respuestas automáticas que usted no haya creado;
• contraseñas de aplicación y aplicaciones vinculadas: elimine lo que no reconozca;
• datos de recuperación y la lista de dispositivos en la verificación en dos pasos.

Cuando una cuenta ha sido realmente tomada

Si ya no puede acceder, use únicamente el procedimiento de recuperación oficial del servicio. Lo encontrará accediendo usted mismo al sitio, no mediante un enlace de un correo o un anuncio de búsqueda. Tenga cuidado con la "ayuda de recuperación" que le contacta a usted en redes sociales, o a la que usted contacta por iniciativa propia: muchas veces son estafadores que quieren engañarle por segunda vez.

Después:

• realice los pasos 3 a 8 de la tabla anterior;
• cree nuevos códigos de recuperación y active un segundo paso más seguro (lecciones 2.3 y 2.4);
• notifique el fraude o el phishing a la Línea de Ayuda en Ciberseguridad de INCIBE (teléfono 017) y presente denuncia ante la policía si hay daños;
• anote qué ha pasado y cuándo. Si se trataba de datos de clientes, puede ser una filtración de datos (lección 8.2).

En la práctica: así es como se ve

En el entorno de WebOké, en Mi WebOké, en Datos de acceso, verá la tarjeta Sesiones activas, con el navegador, el sistema, la dirección IP y desde cuándo está activa cada sesión. Puede cerrar una sesión concreta o cerrar sesión en todas partes excepto en el dispositivo desde el que está trabajando ahora. En Nextcloud, en Seguridad, encontrará el resumen Dispositivos y sesiones, donde también puede revocar un dispositivo o borrarlo de forma remota. El reenvío y los filtros de un buzón de correo se encuentran en el panel de alojamiento y en el webmail. En otros proveedores funciona de forma parecida: busque "sesiones", "dispositivos", "seguridad" o "actividad reciente".

Resumen

• Compruebe usted mismo en haveibeenpwned.com si su dirección de correo aparece en una filtración conocida; Pwned Passwords funciona con k-anonimato (solo se envían los primeros 5 caracteres del hash).
• No aparecer en la lista no es lo mismo que estar seguro.
• Después de una filtración: primero su correo, después revocar sesiones, y comprobar la verificación en dos pasos y los datos de recuperación.
• Un cambio de contraseña no elimina las reglas de reenvío, las contraseñas de aplicación ni las sesiones robadas.
• Una cuenta tomada por otra persona solo se recupera por la vía oficial del servicio.

Cuestionario

Ejercicio

Ejercicio D2.5: Su propia comprobación de filtraciones y ronda de limpieza. Compruebe usted mismo en haveibeenpwned.com sus direcciones de correo profesionales y active "Notify me". Revise en su buzón de correo y en sus cuentas más importantes las sesiones activas, las reglas de reenvío, las contraseñas de aplicación y los datos de recuperación, y elimine lo que no reconozca. Marque la lista de comprobación y responda a las preguntas de reflexión. En el curso no debe introducir ninguna dirección de correo ni contraseña.

Para saber más

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma parecida.

• Manual de WebOké 3.6: Ver y cerrar sesiones activas
• Manual de Nextcloud 3.6: Ver, anular o borrar dispositivos y sesiones a distancia
• Manual de DirectAdmin 3.7: Contraseñas seguras y qué hacer en caso de filtración de una contraseña
• Iniciar sesión en Nextcloud no funciona: contraseña, código o limitación
• Buzón comprometido o spam enviado desde su dirección: así lo soluciona
• Have I Been Pwned (buscar usted mismo su dirección de correo): https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (en inglés, explicación del k-anonimato): https://haveibeenpwned.com/Passwords
• Línea de Ayuda en Ciberseguridad de INCIBE (notificar fraude y phishing): https://www.incibe.es/linea-de-ayuda-en-ciberseguridad