¿Las herramientas de verificación de cuentas de correo electrónico pirateadas son genuinas o una estafa?

Después de la noticia de una gran violación de los servidores de Google que resultó en la supuesta piratería de 5 millones de direcciones de correo electrónico, varios sitios web sugirieron que los lectores deberían verificar si habían sido víctimas ingresando sus direcciones de correo electrónico en “herramientas de control” - sitios web que pueden determinar si una dirección de correo electrónico está en una lista de credenciales pirateadas.

El problema es que algunas de estas herramientas de verificación no eran tan legítimas como los sitios web que enlazaban con ellas podrían haber esperado ...

5 millones de direcciones de correo electrónico: la verdad

Reportado en ese momento como una fuga masiva de 5 millones de nombres de usuario y contraseñas de cuentas de Gmail, pronto se supo que la historia era, bueno, solo eso: una historia.

Al explicarlo un poco más tarde, Google reveló que menos del 2% de las combinaciones de nombre de usuario / contraseña eran precisas, y que sus propias herramientas de seguridad de inicio de sesión habrían atrapado a la mayoría de esas.

También aclararon que las credenciales no fueron pirateadas desde sus propios servidores, sino desde otros sitios web:

Es importante tener en cuenta que en este caso y en otros, los nombres de usuario y contraseñas filtrados no fueron el resultado de una violación de los sistemas de Google. A menudo, estas credenciales se obtienen a través de una combinación de otras fuentes..

Por ejemplo, si reutiliza el mismo nombre de usuario y contraseña en todos los sitios web, y uno de esos sitios web es pirateado, sus credenciales podrían usarse para iniciar sesión en los demás.

Por lo tanto, una cuenta de Gmail detectada en una infracción anterior, de alto perfil o de otro tipo, podría haber sido una de las personas en el volcado de datos de credenciales en manos de “hackers”. Esencialmente, la información que podría haber estado en línea de una forma u otra, las cuentas de Gmail fueron extraídas de varias fuentes.

Pero, ¿cómo fue que esta historia se generalizó tan rápido? Probablemente con la ayuda de un número grande y redondo, como 5 millones, y la inteligente extracción de cadenas de los piratas informáticos que publicaron las contraseñas de las cuentas en un foro ruso de Bitcoin. Agregue una herramienta de verificación en línea que confirme si su propia cuenta de correo electrónico está en el basurero y tiene una gran noticia.

Por supuesto, parece probable que isleaked.com no es el sitio web que la gente pensaba que era.

Cómo funciona un verificador de cuenta de correo electrónico pirateado falso

Comprobación de una dirección de correo electrónico en una base de datos (que puede ser SQL, Access o incluso un archivo de texto Entonces, ¿qué es una base de datos, de todos modos? [Explica MakeUseOf] Entonces, ¿qué es una base de datos, de todos modos? , el concepto de una base de datos es algo que realmente se puede dar por sentado. Sin embargo, para muchas personas, el concepto de una base de datos en sí es un poco extraño ...) de las cuentas de correo electrónico pirateadas es relativamente sencillo. Combinado con un script fácilmente descargable, dicho sitio web podría configurarse en aproximadamente 30 minutos.

Troy Hunt, por su parte, tiene un enfoque mucho mejor, por lo que debería usar su sitio para verificar la filtración de sus credenciales cada vez que lea o escuche sobre un hack de cuenta.

Como se explica en su blog, Hunt ha creado Have I Been Pwned ?, un sitio web legítimo (Hunt es un MVP de Microsoft para seguridad del desarrollador) diseñado para que los usuarios promedio escriban su dirección de correo electrónico y descubran si han sido pirateados o no. Utilizando los datos enviados a sitios como Pastebin.com, incluso le dice qué incumplimiento es responsable de la presencia de su cuenta de correo electrónico en su base de datos..

Buscando un cheque legítimo de cuenta de correo electrónico pirateado?

Cuando se muestran los resultados, el sitio muestra el nombre del sitio web del que se filtraron los detalles de su cuenta. Con suerte, ese sitio te habría enviado un correo electrónico privado o un anuncio.

(Por supuesto, si le preocupa que su cuenta de correo electrónico haya sido pirateada, debe cambiar su contraseña de todos modos. Recuerde hacerla segura y memorable 6 consejos para crear una contraseña irrompible que pueda recordar 6 consejos para crear una contraseña irrompible que usted Puedo recordar Si sus contraseñas no son únicas e irrompibles, también podría abrir la puerta principal e invitar a los ladrones a almorzar.)

Como puede ver en la imagen de arriba, mi cuenta de correo electrónico fue una de las muchas recuperadas en la violación masiva de Adobe de 2013. Debe usar la información que el sitio de Hunt proporciona para actuar de inmediato, aunque tenga en cuenta que incluso cuando se haya cambiado su contraseña, su dirección de correo electrónico permanecerá en el sitio.

Si es práctico, también vale la pena considerar cambiar la dirección de correo electrónico que usa con sus cuentas en línea.

La debida diligencia no debe ser cosa del pasado

Un elemento vital del periodismo es la debida diligencia; La comprobación de los hechos. Simplemente regurgitar comunicados de prensa no es suficiente. Cualquier escritor, ya sea produciendo contenido por $ 1 por 1000 palabras o asalariado a un nombre destacado en la publicación, puede hacerlo.

Desafortunadamente en la World Wide Web, no sucede lo suficiente.

Unos pocos minutos de verificación de hechos habrían demostrado que el reclamo de 5 millones de direcciones fue una fabricación. Como informamos en ese momento, las direcciones habían sido extraídas de una colección de filtraciones anteriores Gmail Passwords Leak Online, Microsoft Drops Windows Phone, y más ... [Tech News Digest] Gmail Passwords Leak Online, Microsoft Drops Windows Phone, y más ... [ Tech News Digest] Además, críticas negativas, Deezer en los EE. UU., Google Pyramids, NES 3DS y una máquina iluminadora Rube Goldberg. . Los hackers rusos pudieron recopilar una lista en lugar de violar la seguridad de Google.

Mientras tanto, era de sospechar que el sitio recomendado por muchos sitios web para revisar correos electrónicos, isleaked.com. Curiosamente registrado solo dos días antes de la fuga, en Rusia, su repentina existencia fue enormemente fortuita o planificada.

Como siempre digo, no hay coincidencias en la seguridad en línea..

Después de todo, ¿qué mejor manera de confirmar la lista de direcciones que dice haber pirateado que hacer que los propietarios de las cuentas verifiquen si todavía las están usando o no? Es el modus operandi de los spammers: las direcciones muertas no valen nada, por eso muchos correos electrónicos no deseados le piden que responda. Su respuesta se registra y se conserva la dirección.

El verificador de correo electrónico de fuga isleaked.com fácilmente podría ser un enfoque más sofisticado. Mientras afirman:

No recopilamos sus correos electrónicos, URL / direcciones IP, registros de acceso ni verificamos resultados. O no hacemos nada dañino con su dispositivo durante la prueba!

... hay pocas razones para confiar en el sitio. Troy Hunt, quien tiene una reputación que mantener, explica cómo funciona su sitio, por lo que tiene sentido usarlo..

El veredicto: no reaccione sin los hechos

Lo que podemos aprender de esto es que nadie debe actuar sobre reclamos de violaciones de datos y piratas informáticos sin poseer los hechos completos. Simplemente hay demasiadas variables para tener en cuenta.

Con los reclamos de piratería de Gmail, parece una suposición segura de que los presuntos hackers simplemente estaban verificando su colección de direcciones, presumiblemente utilizadas en varias campañas de spam.

Algunos eran genuinos, otros expiraron hace mucho tiempo.

Haveibeenpwned.com es el mejor sitio web para verificar si su correo electrónico ha sido pirateado y ha llegado a un sitio como Pastebin.com.

Irónicamente, en lo que respecta a los 5 millones de direcciones de Gmail que supuestamente fueron pirateadas de Google, fue la prensa tecnológica la que realmente se demoró.

Rob Hyrons a través de Shutterstock