Así es como nos roban las contraseñas (según Google)

Para un hacker entrar en los dominios de Google debe ser igual que cuando los piratas abordaban una embarcación cargada de oro, y por eso no se cansan de intentarlo. Pero la compañía del buscador dedica muchos esfuerzos para rastrear sus pasos y conocer cómo roban contraseñas y las exponen en el llamado 'internet profundo'.

Reunir pruebas del 'modus operandi' y las herramientas que usan los hackers ha llevado prácticamente un año de trabajo a un equipo de expertos de Google e investigadores de la Universidad de Berkey en California. Y el tema tiene su enjundia, porque hacerse con una clave de Google es tener la entrada a un enorme ecosistema que permite el acceso a fotografías, correos, documentos e historiales de búsquedas, webs y visualizaciones de vídeos de YouTube.

Las conclusiones del estudio desvelan que existen dos vías mayoritarias de proceder para robar contraseñas. La primera es la suplantación de identidad de forma fraudulenta, vía correo electrónico, y la segunda son los incumplimientos de servicio por parte de terceros, que roban contraseñas de forma masiva aprovechándose de la confianza del usuario al ceder su cuenta a servicios externos.

Entre marzo de 2016 y marzo de 2017 los de Mountain View hallaron más de doce millones de credenciales (nombre de usuario + contraseña) obtenidas a partir de 'phising' (aquí te explicamos cómo evitar este tipo de estafa). Aunque son más escalofriante los 3,3 miles de millones de datos obtenidos por violaciones de servicios externos conectados a la cuenta.

Pero todo podría ser mucho peor. Los datos proporcionados por la investigación pueden ser bastante limitados, ya que el equipo sólo accedió a información que estaba disponible fácilmente en internet. Dicho de otra forma, los secuestradores de datos que no actúen filtrando los datos públicamente no entran dentro del estudio.

Tener contraseñas difíciles (letras, números y símbolos), variarlas de un servicio a otro, modificarlas periódicamente o usar un administrador de contraseñas para que no tengas que memorizarlas son algunos de los consejos típicos que se dan para evitar su robo, ya sea mediante piratería directa o robos masivos. De estos últimos ataques de suplantación de identidad de terceros destacan los que simulan ser el propio Gmail, Yahoo, Hotmail, Webmail, Dropgox, Office 365 o Google Drive.

Según el estudio, el 15% de los usuarios han informado alguna vez de algún robo de cuentas, aunque también el dato puede ser mayor porque no recoge a los que no denuncian. Google aconseja asociar un teléfono a la cuenta, activar la verificación en dos pasos y vigilar el panel de control con las opciones de seguridad disponibles.