Cinc milions de contrasenyes de Gmail filtrades en un fòrum rus

Gairebé cinc milions de comptes de Gmail, Google Plus, Yandex i Mail.ru (aquests últims, dos dels portals més visitats de Rússia) van aparèixer la nit del passat dimarts al fòrum rus btcsec.com, temporalment no disponible. La pàgina de Bitcoin, especialitzada en seguretat d'Internet, llançar una captura de pantalla de la base de dades filtrada. Van afirmar que més del 60% de la combinació d'usuaris i contrasenyes eren vàlids, tot i que la delegació de Google al país ha explicat als mitjans nacionals que la majoria de la informació era “vella i potencialment desactualitzada”. És a dir, comptes a les que els seus amos ja no accedeixen o contrasenyes antigues.

Fins aquest dijous al matí, Som Unitat de Delictes Telemàtics de la Guàrdia Civil ni la Brigada d'Informació Tecnològica de la Policia a Espanya ni la Agència Espanyola de Protecció de Dades (SEPD), han rebut denúncies per part de ciutadans o empreses. L'advocat Alonso Hurtado, d'Écija (experts en tecnologia, mitjans i telecomunicacions), assegura que a ells tampoc els ha cridat cap client, encara que l'equip de la firma espanyola que es dedica a la seguretat a Internet porta hores vigilant la Xarxa.

“Ahir a la nit, revisant el fòrum, trobem tres usuaris que asseguraven ser d' Anonymous i deien estar darrere dels atacs a la base de dades de Google a Califòrnia”, explica Hurtado, qui dubta de la informació que tenen fins al moment. “Podrien ser ells, ells i altres 15.000 que col · laboren amb ells, o altres. El primer que cal esbrinar és si els servidors atacats es troben fora o dins del territori de la Unió Europea”.

La captura de pantalla que va publicar el fòrum.

Segons el gegant d'Internet, aquesta publicació pot ser conseqüència d'un llarg període de diverses pràctiques de pirateria, i tant l'empresa nord-americana com la cérvols Yandex, han afirmat que la seva seguretat no ha estat compromesa, només la dels individus que han estat piratejats. Les dades que van aparèixer en el fòrum contenien informació d'internautes que parlen anglès, rus i espanyol.

Alonso Hurtado dubta de la versió que ha donat el cercador: “Em costa creure que un lloc d'informació tan immensa sigui fruit d'atacs individuals. Això significaria que és un treball immens d'anys i anys. Tampoc té cap sentit que un hacker vulgui trencar la privacitat d'una sola persona”. Segons l'advocat, l'habitual és que els pirates informàtics pretenguin trencar la seguretat de grans empreses, “fer-se amb la tpv d'un banc o robar les targetes de la Play Station de Sony, per exemple, com ja va passar”.

Aquesta fugida, de 4,93 milions de dades, arriba després de dues que van afectar només als portals de Rússia. Dimarts passat, 4,66 milions de comptes de Mail.ru van ser llançades a la Xarxa; el mateix va ocórrer amb 1,26 milions de noms d'usuaris i contrasenyes de Yandex, publicades el dia anterior en un arxiu de text.

Pablo Fernández, de Abanlex (advocats especialitzats en tecnologia), comenta que les filtracions no es produeixen “perquè sí”. En cas que els atacs hagin estat a individus, “són ells els qui tenen l'obligació de mantenir contrasenyes segures, cosa que implica un mínim respecte per la privacitat. Si no canvies la contrasenya, en la pràctica estàs permetent que algú pugui entrar. Hi ha un deure de protegir la pròpia privacitat. El que no vol dir que no sigui un delicte”, explica Fernández.

Els procediments a Espanya davant aquest tipus de casos, quan s'ha esbrinat qui o qui són els ciberdelinqüents, Tres són. El primer és el penal i està castigat amb presó, “per afectar de manera greu a la privacitat de les persones i per ser un atac informàtic. Fins i tot podria ser de revelació de secrets”, apunta l'advocat.

El segon és per la via civil, “perquè les dades personals tenen a veure amb el ciutadà”. En aquest cas, segons Fernández, ha la possibilitat que les persones a les que hagi afectat la filtració, demanin indemnització pel dany que els hagi causat la publicació de les contrasenyes. La tercera és l'administrativa, “pel tema de la protecció de dades”, afirma l'advocat. “En aquest cas, l'Agència Espanyola de Protecció de Dades ha d'iniciar un procediment d'investigació”.

Fernández recomana revisar de manera immediata si el compte conté “virus, troians o qualsevol altre símptoma que algú ha estat entrant en ella, perquè el segon pas que cal donar tingui efecte”. El canvi immediat de la contrasenya, “per una molt més forta, per exemple a través de la pàgina Password.es. I denunciar”.

Alonso Hurtado, d'Écija, suggereix començar a eliminar algunes pràctiques que, “encara que semblen una bogeria, succeeixen”. Deixar de escanejar dades de comptes bancaris, targetes de coordenades, bancàries, l'assegurança de salut, documents d'identitat i passaports. “Cal pensar que no només és Gmail, amb aquest únic usuari, un hacker té accés a desenes d'utilitats com Google Drive, Youtube, o el calendari”.