En formato de texto plano, junto a su nombre de usuario y ordenadas alfabéticamente, la compañía de seguridad informática 4iQ encontró 1,400 millones 553,869 contraseñas en una base de datos subida a la dark web, lo que convierte a este hallazgo en “la base de datos agregada más grande encontrada en la dark web hasta la fecha”, de acuerdo con Julio Casal, fundador y director de Tecnología de 4iQ.

En un post del blog de la empresa de ciberseguridad, Casal detalla que estos miles de millones de contraseñas fueron descubiertas dentro de un solo archivo público en la dark web y que representan más del doble de pares de registros que la que anteriormente se consideraba la más grande filtración de este tipo de información, conocida como Exploit.In. De hecho, esta nuevo basurero de datos encontrado agrega los datos combinados de 256 filtraciones anteriores, que incluyen a Anti Public y Exploit.In, e información de vulneraciones como la que sufrió Linked.In en el 2016.

“Esta nueva filtración agrega 385 millones de nuevos pares de credenciales, 318 millones de usuarios únicos y 147 millones de contraseñas pertenecientes a bases de datos anteriores”, advierte Casal.

Las credenciales expuestas corresponden a sitios populares con millones de usuarios alrededor del mundo como Twitter, Yahoo, Tumblr, MySpace, Netflix, YouPorn, Last.FM, PasteBin y de juegos como Minecraft y Runescape.     

“Esta no es solo una lista. Es una base de datos agregada e interactiva que permite búsquedas rápidas (respuesta de un segundo) e importaciones de nuevas filtraciones. Dado el hecho de que las personas vuelven a usar contraseñas en sus cuentas de correo electrónico, redes sociales, comercio electrónico, banca y trabajo, los hackers pueden automatizar el secuestro de cuentas”, explica Casal en el post.

De acuerdo con el CTO de 4iQ, el archivo, que fue encontrado el 5 de diciembre pasado alojado en un foro de la dark web, tiene un tamaño de 41 gigabytes e incluye un archivo llamado “imported.log”, el cual contiene un índice de 256 vulneraciones cuyos datos se encontraban disponibles en este agregador, sin ningún tipo de encriptación. También se descubrieron scripts que explican el funcionamiento de la base de datos e información de monederos de bitcoins y dogecoins para realizar donaciones, una especie de crowdfunding para un proyecto ilegal.

Esta filtración no sólo revela que miles de millones de datos sensibles están expuestos en diferentes ubicaciones de la red y que muchos de ellos aún son útiles para los ciberdelincuentes -varios usuarios vulnerados verificaron la información-, también exhibe la escasa seguridad con la que muchos propietarios de las cuentas filtradas tratan su información, al establecer contraseñas como 111111 o la palabra “password”.

De acuerdo con el análisis de 4iQ sobre la información filtrada, más de 9 millones de cuentas estaban aseguradas bajo la contraseña 123456; más de 3 millones con 123456789 y más de millón y medio estaban protegidas por la clave “qwerty”.

Si bien que esta filtración haya salido a la luz ayuda a mitigar los efectos que podría tener en la privacidad de miles de millones de personas en todo el mundo, el que permanezca en la deep web y que, de acuerdo con The Hacker News, ya exista una versión del archivo en formato Torrent, hace que el riesgo de sufrir una suplantación de identidad o de verse vulnerado mediante alguna de las plataformas expuestas se mantenga.