Durante diciembre de 2009, ocurrió el que se considera el mayor robo de contraseñas hasta el momento cuando la empresa RockYou, una red social especializada en aplicaciones y publicidad, perdió mas de 32 millones de claves y otra información de sus usuarios (como el correo electrónico) debido a que almacenaba las mismas en texto claro en su base de datos.
Así comienza el informe preparado por Imperva en donde se hace un recorrido desde los '90 hasta la fecha llegando a la conclusión inevitable de que las costumbres de los usuarios no ha cambiado: se sigue utilizando contraseñas cortas y pobres, lo que facilita el trabajo de los delincuentes que, por otro lado cada vez utilizan herramientas más sofisticadas (hasta el punto de que a través de fuerza bruta pueden obtenerse alrededor de 1.000 cuentas en 17 minutos).
De acuerdo al informe casi el la mitad de las cuentas comprometidas en el caso de RockYou, utilizaban 5, 6 o 7 caracteres y quizás no utilizaban menos porque el sitio no lo permite. Si a esto se suma que el 40% sólo utiliza caracteres en minúscula y el 16% sólo utiliza números, el problema se torna preocupante y explica gran parte de los inconvenientes actuales con el robo de credenciales. Cabe mencionar que sólo el 4% utiliza caracteres especiales.
La siguiente imagen muestra y da una idea clara de la gravedad del problema debido a la cantidad de personas que utilizan contraseñas sencillas:
Como puede verse los problemas son variados y podrían resumirse de la siguiente forma:
- Miles de empresas y sitios web almacenan las contraseñas de usuarios en texto claro, lo que significa que si la base de datos es expuesta un atacante externo se lleva el premio mayor, toda la información de sus clientes.
- Las compañías tienen problemas de gestión y seguridad que permiten a personal interno acceder a los registros confidenciales de clientes y usuarios.
- Utilizar contraseñas nulas o pobres en una red corporativa, facilita infecciones como las logradas por gusanos como Conficker.
- Aún ignorando los problemas anteriores, los usuarios no utilizamos contraseñas fuertes o reutilizamos las mismas (como lo explica este otro informe de Trusteer) en cientos de sitios sin considerar la información manipulada en cada uno: da lo mismo una red social que el Home-Banking. Esto significa que si alguien roba su información de la red social, también tendrá acceso a su cuenta bancaria.
Sin dudas estas consideraciones deben ser tenidas en cuenta cuando se desarrolla un sistema con acceso a datos de los usuarios y también cuando se selecciona una contraseña.
Cristian Borghello
Director de Educación
