Cinco millones de contraseñas de Gmail filtradas en un foro ruso

Casi cinco millones de cuentas de Gmail, Google Plus, Yandex y Mail.ru (estos últimos, dos de los portales más visitados de Rusia) aparecieron la noche del pasado martes en el foro ruso btcsec.com, temporalmente no disponible. La página de bitcoin, especializada en seguridad de Internet, lanzó una captura de pantalla de la base de datos filtrada. Afirmaron que más del 60% de la combinación de usuarios y contraseñas eran válidos, a pesar de que la delegación de Google en el país explicó a los medios nacionales que la mayoría de la información era "vieja y potencialmente desactualizada". Es decir, cuentas a las que sus dueños ya no acceden o contraseñas antiguas.

Hasta este jueves por la mañana, ni la Unidad de Delitos Telemáticos de la Guardia Civil ni la Brigada de Información Tecnológica de la Policía en España ni la Agencia Española de Protección de Datos (AEPD), han recibido denuncias por parte de ciudadanos o empresas. El abogado Alonso Hurtado, de Écija (expertos en tecnología, medios y telecomunicaciones), asegura que a ellos tampoco les ha llamado ningún cliente, aunque el equipo de la firma española que se dedica a la seguridad en Internet lleva horas vigilando la Red.

"Anoche, revisando el foro, encontramos tres usuarios que aseguraban ser de Anonymous y decían estar detrás de los ataques a la base de datos de Google en California", explica Hurtado, quien duda de la información que tienen hasta el momento. "Podrían ser ellos, ellos y otros 15.000 que colaboran con ellos, u otros. Lo primero que hay que averiguar es si los servidores atacados se encuentran fuera o dentro del territorio de la Unión Europea".

Según el gigante de Internet, esta publicación puede ser consecuencia de un largo periodo de diversas prácticas de hacking, y tanto la empresa estadounidense como la rusa Yandex, han afirmado que su seguridad no ha sido comprometida, solo la de los individuos que han sido pirateados. Los datos que aparecieron en el foro contenían información de internautas que hablan inglés, ruso y español.

Alonso Hurtado duda de la versión que ha dado el buscador: "Me cuesta creer que una base de información tan inmensa sea fruto de ataques individuales. Eso significaría que es un trabajo inmenso de años y años. Tampoco tiene sentido alguno que un hacker quiera romper la privacidad de una sola persona". Según el abogado, lo habitual es que los piratas informáticos pretendan quebrar la seguridad de grandes empresas, "hacerse con la tpv de un banco o robar las tarjetas de la Play Station de Sony, por ejemplo, como ya ocurrió".

Esta fuga, de 4,93 millones de datos, llega después de otras dos que afectaron sólo a los portales de Rusia. El pasado martes, 4,66 millones de cuentas de Mail.ru fueron lanzadas a la Red; lo mismo ocurrió con 1,26 millones de nombres de usuarios y contraseñas de Yandex, publicadas el día anterior en un archivo de texto.

Pablo Fernández, de Abanlex (abogados especializados en tecnología), comenta que las filtraciones no se producen "porque sí". En caso de que los ataques hayan sido a individuos, "son ellos quienes tienen la obligación de mantener contraseñas seguras, algo que implica un mínimo respeto por la privacidad. Si no cambias la contraseña, en la práctica estás permitiendo que alguien pueda entrar. Hay un deber de proteger la propia privacidad. Lo que no quiere decir que no sea un delito", explica Fernández.

Los procedimientos en España ante este tipo de casos, cuando se ha averiguado quién o quiénes son los ciberdelincuentes, son tres. El primero es el penal y está castigado con cárcel, "por afectar de forma grave a la privacidad de las personas y por ser un ataque informático. Incluso podría ser de revelación de secretos", apunta el abogado.

El segundo es por la vía civil, "porque los datos personales tienen que ver con el ciudadano". En este caso, según Fernández, existe la posibilidad de que las personas a las que haya afectado la filtración, pidan indemnización por el daño que les haya causado la publicación de las contraseñas. La tercera es la administrativa, "por el tema de la protección de datos", afirma el abogado. "En este caso, la Agencia Española de Protección de Datos tiene que iniciar un procedimiento de investigación".

Fernández recomienda revisar de forma inmediata si la cuenta contiene "virus, troyanos o cualquier otro síntoma de que alguien ha estado entrando en ella, para que el segundo paso que hay que dar tenga efecto". El cambio inmediato de la contraseña, "por una mucho más fuerte, por ejemplo a través de la página Password.es. Y denunciar".

Alonso Hurtado, de Écija, sugiere empezar a eliminar algunas prácticas que, "aunque parecen una locura, suceden". Dejar de escanear datos de cuentas bancarias, tarjetas de coordenadas, bancarias, sanitarias o de seguros, documentos de identidad y pasaportes. "Hay que pensar que no sólo es Gmail, con ese único usuario, un hacker tiene acceso a decenas de utilidades como Google Drive, Youtube, o el calendario".