El investigador de ciberseguridad, Jeremiah Fowler, descubrió una base de datos en línea que contenía más de 184 millones de nombres de usuario y contraseñas únicos para el inicio de sesión a cuentas de aplicaciones y una variedad de otros servicios en línea y productos de empresas como Apple, Google, Meta* y Microsoft. Así lo reseñó Actualidad RT.
Fowler, quien informó la semana pasada de su descubrimiento al portal Website Planet, afirma que, entre las 47,42 GB de datos sin procesar, había credenciales para acceder a cuentas de Facebook, Instagram, X, Roblox, Discord, Netflix, PayPal, Amazon, Nintendo, Snapchat, Spotify, entre otros. «También vi credenciales de cuentas bancarias y financieras, plataformas de salud y portales gubernamentales de numerosos países que podrían poner en riesgo significativo a las personas expuestas«, escribe el experto en brechas de datos.
Para confirmar la legitimidad de la información, Fowler envió mensajes a varias direcciones de correo electrónico expuestas en la base de datos, desde donde respondieron, confirmando así que se trataba de cuentas auténticas. Más de un centenar de correos tenían dominios ‘.gov’ y estaban vinculados a al menos 29 países (entre ellos EE.UU., Australia, Canadá, China, India, Israel y el Reino Unido), lo que supone posibles riesgos para la seguridad nacional, recoge el portal Wired.
«Esta filtración representa un riesgo mucho mayor que la mayoría de las que he descubierto. Diría que es uno de los descubrimientos más peligrosos que he hecho en mucho tiempo», dijo en diálogo con la revista PC Magazine.
Contraseñas expuestas: «Un sueño hecho realidad para los ciberdelincuentes»
Si bien Fowler no pudo identificar quién creó la base de datos ni de dónde provenía originalmente la información de acceso, informó a World Host Group, la empresa de alojamiento a la que estaba vinculada, que bloqueó inmediatamente su acceso. Su director general, Seb de Lemos, le confirmó a Wired que la base de datos estaba controlada en su totalidad por un cliente: «Parece que un usuario fraudulento se registró y subió contenido ilegal a su servidor», señaló.
Dado que el proveedor de alojamiento no reveló la información de su cliente, se desconoce si la base de datos se utilizó para actividades delictivas o si se recopiló con fines legítimos de investigación y posteriormente se expuso por descuido. Tampoco se sabe si alguien más, aparte de Fowler, accedió a ella mientras aún estaba activa. De cualquier modo, el especialista sospecha que el responsable es un ladrón informático. «Conocer los nombres de usuario y las contraseñas de millones de cuentas es un sueño hecho realidad para los ciberdelincuentes», dijo.