¿Podría ser pirateado como Twitter?

Obra: Diego AguirreEl pirata informático francés que irrumpió en Google Apps de Twitter y robó más de 300 documentos de empresas privadas ha revelado en detalle cómo lo hizo. Utilizando un método conocido como "cracking", el hombre que se conoce con el nombre de Hacker Croll fue capaz de romper la seguridad de Twitter al buscar en la Web información públicamente disponible, de acuerdo con TechCrunch. Eventualmente, Croll encontró una debilidad de la que muchos de nosotros somos culpables, usando una contraseña para todo, y la seguridad de Twitter se vio comprometida. Siga leyendo para ver cómo lo hizo Hacker Croll, y considere si el acceso a su vida digital podría ser violado por sus métodos.

Croll Cracks Twitter

Hacker Croll comenzó creando un perfil de su empresa objetivo, en este caso Twitter. Básicamente, reunió una lista de empleados, sus puestos dentro de la empresa y sus direcciones de correo electrónico asociadas. Después de que se acumuló la información básica, Croll construyó un perfil pequeño para cada empleado con su fecha de nacimiento, nombres de mascotas, etc.

Después de que Croll creó estos perfiles, simplemente golpeó las puertas hasta que se cayó. Eso es exactamente lo que sucedió cuando hizo un proceso de recuperación de contraseña para la cuenta personal de Gmail de un empleado de Twitter. Croll descubrió que la cuenta secundaria adjunta al Gmail de esta persona era una cuenta de Hotmail. El problema era que la cuenta de Hotmail se había eliminado y reciclado debido a la inactividad, una política de larga data en Hotmail. Ahora, todo lo que Hacker Croll tuvo que hacer fue volver a registrar la cuenta de Hotmail, volver y hacer la recuperación de la contraseña de Gmail, y luego Gmail le envió la información de restablecimiento de la contraseña directamente al malo.

Pero aún no ha terminado. Gmail le pidió a Hacker Croll que restableciera la contraseña de la cuenta de correo electrónico personal del empleado de Twitter, lo cual hizo. Pero ahora el usuario original fue bloqueado de su cuenta, lo que enviaría una bandera roja obvia. Entonces, todo lo que Croll hizo fue buscar en la cuenta de Gmail las contraseñas de los otros servicios activos de la persona. Luego ingresó una contraseña de uso común que había encontrado, y esperó para ver si la persona comenzó a usar su cuenta normalmente. Croll ahora tenía acceso a la cuenta de Gmail desde detrás de las escenas, y podía acceder a la información sin ser detectado. Haciendo la vida aún más fácil, la empleada de Twitter utilizó la misma contraseña en sus cuentas comerciales y personales, por lo que el hacker ahora tenía acceso a ambas, y el resto era historia.

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

¿Eres vulnerable a la misma fisura?

Lo alarmante de los métodos de Croll es que le podrían pasar a cualquiera. Revisé mi propia cuenta de Google la semana pasada y descubrí que estaba abierto a

la misma falla de seguridad que tenía el empleado de Twitter. Había registrado mi cuenta de Gmail hace tanto tiempo, que había olvidado todo sobre mi dirección secundaria de correo electrónico. Al igual que el empleado de Twitter, el correo electrónico secundario adjunto a mi cuenta de Google había desaparecido y posiblemente esté abierto a que vuelva a registrarse. Eso ha sido cambiado desde entonces. También realicé una búsqueda en mi propio correo electrónico de las contraseñas que he utilizado, y me sorprendió la cantidad de resultados devueltos. Haga una búsqueda en su cuenta de correo electrónico usando sus contraseñas más comunes, y vea qué sucede. Puede que se sorprenda.

Pero hay muchas otras formas en que un hacker puede obtener su información. ¿Alguna vez recibió un saludo de Feliz cumpleaños en un servicio público como Twitter? ¿Alguna vez le ha enviado a alguien su número de teléfono o cualquier otra información de esa manera? ¿Qué información está asentada en sus redes sociales? ¿Están cerradas sus cuentas de MySpace y Facebook, o alguien puede verlas que lo busque? ¿Su página de Facebook tiene su fecha de nacimiento, las últimas escuelas a las que asistió, el nombre de su mascota? ¿Podría descubrir el apellido de soltera de su madre, una pregunta de seguridad común, a través de su cuenta de red social? ¿Qué pasa con la gran cantidad de otros servicios que utiliza? Si cree que es poco probable que alguien pueda encontrar esta información, intente buscarse en los motores de búsqueda llamados "Deep Web" como Pipl o Spokeo y vea qué surge. Puede encontrar cuentas en línea que había olvidado por completo.

Webmail Security Similar

El otro problema es que la mayoría de los principales servicios de correo electrónico utilizan métodos de recuperación similares a los de Google. Hotmail es casi exactamente lo mismo que Gmail. Yahoo es aún más fácil, ya que si le dices a Yahoo que no puedes acceder a tu cuenta secundaria de correo electrónico, puedes responder una pregunta secreta. Esas medidas de seguridad son lo que hizo posible que un estudiante pirateara el año pasado la cuenta de Yahoo Mail de la gobernadora de Alaska Sarah Palin. En mis pruebas de la página de recuperación de Yahoo Mail, obtuve lo que me pareció una cantidad ilimitada de oportunidades para adivinar mi pregunta secreta de Yahoo Mail. AOL Mail no es mucho mejor, ya que tiene la opción de ingresar su correo electrónico secundario (debe saberlo o adivinar) o puede ingresar su fecha de nacimiento exacta más su código postal en archivo con AOL. La barrera de código postal hace que sea más difícil para alguien entrar, pero de ninguna manera imposible.

Si descubres que estás abierto a los mismos defectos que Twitter, entonces considera esta tu llamada de atención. Debe verificar regularmente la configuración de seguridad en sus diversas cuentas en línea para que pueda controlar su información de seguridad, ya que es muy fácil olvidar lo que ingresó hace años. Preste especial atención a las cuentas secundarias de correo electrónico conectadas a su dirección de correo electrónico principal; considere dar una respuesta falsa (que solo usted recuerda) a las preguntas de seguridad; y cambie regularmente sus contraseñas, ya sea por su propia invención o con un generador de contraseñas aleatorias como GRC o Strong Password Generator. También puede evitar el uso de una o dos contraseñas y usar administradores de contraseñas como Clipperz, KeePass o Yubico para recordar sus detalles. Pero quizás lo más importante, busque las contraseñas más comunes que usa en sus propias cuentas de correo web y elimine esos mensajes. Si sucede lo peor y su cuenta se ve comprometida, se alegrará de haberlo hecho.