Yahoo! pide a los usuarios que cambien sus contraseñas

Cuatro años después del robo de 200 millones de usuarios por parte del pirata informático Peace, la compañía de Marisa Mayer sufre el mayor ataque informático de toda la historia. Atrás se quedan los robos de 360 millones de credenciales a usuarios de Linkedin y el ataque a MySpace con poco más de 100 millones de cuentas pirateadas.

Cuanto mayor volumen tiene una empresa, más riesgos asociados tiene y un mayor control de lo que tiene, cómo lo tiene y qué nivel de fortificación tiene es necesario, explica Pablo González, analista de seguridad en Eleven Paths.

Lejos quedan los días de vino y rosas en la sede central de la multinacional, cuando su portal era el más visitado en la década de los 90. El cambio de siglo y la aparición de los gigantes tecnológicos han acabado con su hegemonía.

La compañía, que ya investigaba el ataque en agosto de 2014, ha tratado de tranquilizar a sus usuarios mediante un comunicado. Los datos robados no incluyen cuentas bancarias, ni tarjetas de crédito, pero sí nombres, direcciones de correo electrónico, números de teléfono, fechas de nacimiento e incluso las preguntas de seguridad cifradas y sin cifrar.

Con estos datos, Pablo González asegura que se podría llegar a suplantar millones de identidades, ya que se tiene información sobre los usuarios y contraseñas. De todos modos, no sería un uso común, a no ser que entre esas cuentas estuviera la de un usuario de interés por alguna razón.

Información delicada, muy jugosa para la venta en la dark web, asegura González. De momento, 500 millones de usuarios afectados que en los próximos días recibirán un correo electrónico de la compañía:

"Tenga en cuenta que el correo electrónico de Yahoo sobre este problema no le pedirá que haga clic en ningún enlace o archivos adjuntos y no solicitará su información personal. Si recibe un correo electrónico sobre este tema en el que le pide que haga clic en un enlace, descargue un archivo adjunto, o le pide información, el correo electrónico no fue enviado por Yahoo y puede ser un intento de robar su información personal. Evite hacer clic en enlaces o descargar archivos adjuntos de dichos correos electrónicos sospechosos".

Resetear todas las contraseñas

La tecnológica norteamericana ha comenzado el envío de estos correos electrónicos y en los próximos días llegará a gran cantidad de buzones de entrada. La compañía Sophos Iberia pide cambiar la contraseña de Yahoo! de inmediato. Además para mejorar la seguridad, los expertos aseguran que si se usa la misma contraseña para otras cuentas, no dudes en resetearlas. Los cibercriminales utilizan diversas herramientas para rastrear las contraseñas reutilizadas en sitios web más valiosos. Esto simplifica su trabajo y aporta más valor en la deep web a las contraseñas y a la información robada.

No obstante, Yahoo! asegura trabajar en la invalidación de las preguntas y respuestas sin cifrar. Además piden a todos los usuarios modificar sus contraseñas si no lo han realizado desde 2014, añaden en un comunicado.

Ante todo, comenta González, es estar concienciado con la seguridad. Por lo que es bueno utilizar contraseñas seguras (letras, números, caracteres extraños y más de 8 caracteres). Esto es algo importante, pero solo de cara a evitar ataques de predicción o de fuerza bruta contra nuestra identidad.

Responsabilidades

Para reclamar a Yahoo! por los datos 'robados', habría que plantear la demanda en EE UU, conforme a las leyes norteamericanas, con abogados norteamericanos y ante los juzgados norteamericanos, explica Borja Adsuara, abogado y consultor.

En España, la Ley no puede proteger a los usuarios ante este tipo de acciones, pero puede sancionar a los que las cometen y a las empresas que no cumplen con las debidas condiciones de seguridad, explica.

El Código Penal español impone la pena de prisión de uno a cuatro años, por un delito de descubrimiento de secreto. Además la Ley Orgánica de Protección de Datos contempla como una infracción grave (sancionada con multa de 40.001 a 300.000 euros) mantener los ficheros, locales, programas o equipos que contengan datos de carácter personal sin las debidas condiciones de seguridad.