NordPass, una de las compañías de seguridad más importantes del mundo, presentó un listado de las peores contraseñas de 2021 en Colombia. Como siempre la lista está compuesta por algunos ejemplos de ayer y hoy, que por alguna razón nos rehusamos a dejar de utilizar.

1 – 123456: 257.728 veces utilizada.

2 – 123456789:  154.658 veces utilizada.

3 – 12345: 96.568 veces utilizada.

4 – chatbooks:  42.565 veces utilizada.

5 – Colombia: 34.420 veces utilizada.

6 – 12345678: 31.347 veces utilizada.

7 – 1234567: 24.302 veces utilizada.

8 –  password: 24.009 veces utilizada.

9 – 1234567890: 23.617 veces utilizada.

10 – 1234: 19.937 veces utilizada.

11 – Santiago: 13.864 veces utilizada.

12 – yuantuo2012: 13.261 veces utilizada.

13- qwerty: 12.413 veces utilizada.

14 – 111111: 11.851 veces utilizada.

15 – valentina: 11.692 veces utilizada.

Te puede interesar: Estas son las contraseñas más usadas en 2020

16 – nacional: 11.090 veces utilizada.

17 –sebastian: 10.828 veces utilizada.

18 – 123123: 10.392 veces utilizada.

19 – andres:  10.327 veces utilizada.

20 – abc123: 10.186 veces utilizada.

21 – 000000: 9637 veces utilizada.

22 – 987654321 9597 veces utilizada.

23: camilo: 9088 veces utilizada.

24 – 654321: 8206 veces utilizada.

25 – daniela: 8054 veces utilizada.

Hay algunos otros ejemplos que, aunque no están en los primeros 25, son iguales de nefastos: hola (35), minecraft (55), pokemon (56), naruto (87) o 666666 (48). También hay algunos ejemplos más propios de nuestro país como millonarios (54) y millos (69) o Junior (82).

El top 10 global de las contraseñas más usadas de manera global en 2021 es el siguiente:

1 – 123456: 103.170.552 veces utilizada.

2 – 123456789: 46.027.530 veces utilizada.

3 – 12345: 32.955.431 veces utilizada.

4 – qwerty: 22.317.280 veces utilizada.

5 – password: 20.958.297 veces utilizada.

Imágenes: Pixabay

En el primer semestre del 2019 se han reportado 940.000 usuarios afectados por el robo de contraseñas; la cifra ha aumentado 60 por ciento en comparación con los casos reportados en 2018 (600.000), aseguró Kaspersky en un comunicado.

“Los consumidores son cada vez más activos en línea y es normal que confíen en Internet para llevar a cabo muchas tareas de su día a día. Sus perfiles digitales se llenan con cada vez más datos y detalles, convirtiéndose en un objetivo lucrativo para los delincuentes, ya que sus datos pueden monetizarse de muchas maneras distintas”, explicó Alexander Eremin, investigador de seguridad de Kaspersky.

También te puede interesar: con esta extensión de Chrome sabrás si tus contraseñas son seguras.

La información normalmente es robada por virus tipo malware que toman datos de las cookies del navegador, de los archivos de usuario de una ubicación específica (por ejemplo, el escritorio), así como de archivos de aplicaciones, como los de servicios de mensajería.

El robo de contraseñas ha aumentado especialmente en Europa y Asia, según la empresa de seguridad informática. Los criminales informáticos dirigen sus ataques, principalmente, a usuarios de Rusia, India, Brasil, Alemania y Estados Unidos.

El malware más común es Azorult. De acuerdo con Kaspersky, este troyano fue encontrado en más del 25% de los computadores durante el estudio realizado.

Imagen: natasaadzic (Vía iStock).

Jeremy Hammond tenía muy buenas razones para usar una contraseña imbatible. Era el sospechoso de un robo de información a la firma de seguridad Stratford, que le ofrecía servicios al Pentágono y a algunas de las más grandes corporaciones de Estados Unidos. Por eso su cabeza tenía un precio alto. Para capturarlo, el FBI tuvo que seguirlo por meses, incluso infiltrándose en sus redes de contactos.

Cuando lo encontraron en su casa, corrió a cerrar su portátil, de modo que toda su información quedara cifrada. Pero su contraseña era muy débil: ‘Chewey123’. Chewey era el nombre de su gato. Él sospecha que por eso los agentes pudieron recoger pruebas en su contra. Hoy paga 10 años de cárcel.

Mark Zuckerberg, el fundador de Facebook, creó un imperio basado en el axioma fundamental de la ética hacker: la pericia informática y la afición por los retos. Igual: sus cuentas –inactivas– de Twitter y Pinterest fueron violadas de la forma más estúpida. Al parecer, ‘Zuck’ usaba su clave de LinkedIn en estos dos servicios, y cuando fueron robadas las credenciales de la red social profesional, los atacantes pudieron acceder a sus otras cuentas.

Si esto le ocurre a gente como a Hammond o Zuckerberg, ¿qué nos puede pasar a usted o a mí? ¿Será que estamos condenados a que nos roben las claves todo el tiempo? Claro: no usamos buenas contraseñas porque son difíciles de memorizar. Y si lo hacemos, lo más probable es que sea la misma en varios servicios. Si ‘grabarse’ una contraseña buena es difícil, grabarse varias es casi imposible. Y, de todos modos, ésta quedaría expuesta tan pronto se la roben.

No usamos buenas contraseñas porque son difíciles de memorizar

Y –no quiero ser ave de mal agüero, pero– digo ‘se la roben’ porque va a pasar. Esos ataques ocurren casi todos los días. Solo en mayo pasado, unas 642 millones de contraseñas fueron hurtadas, según calculó el medio Ars Technica.

¿Qué pasaría si nuestra mala memoria dejara de ser un problema? Como pasaba más tiempo del que me gustaría admitir recuperando las claves que olvidaba todo el tiempo, descargué LastPass, un administrador de contraseñas. Hay otras opciones bastante buenas en el mercado, como Dashlane o Sticky Password.

Ahora, los accesos de todos mis servicios son una cadena de letras, números y caracteres especiales que no quiero ni debo aprender de memoria. Incluso se completan automáticamente en mi navegador o mi móvil. Por eso, puedo darme el lujo de no usar la misma clave en dos servicios diferentes.

En realidad, solo me toca aprenderme una contraseña: la del acceso al administrador. Como tenía que ser segura y fácil de memorizar, opté por una frase larga que no solo es obviamente falsa, sino que no tiene sentido: algo así como ‘el mandarinas con sandalias tienes un color salado’. Con espacios y todo. Ese es un truco común en las decenas de publicaciones que hay en internet sobre cómo crear claves fuertes: si usas combinaciones de palabras muy comunes, es más fácil adivinarlas.

La única vez que he odiado al administrador de contraseñas es cuando me tocó cambiar de móvil. Para poder bajar la app de LastPass me toca ingresar en mi cuenta de Google, y digitar cada caracter sin equivocarse es tortuoso.

Claro, me toca pagar unos cuantos dólares al año. Pero, a cambio, puedo olvidarme de recordar la clave de cada pequeño servicio que uso o he usado. Ese es un problema que tú también has tenido. Y estamos de acuerdo en que la vida es muy corta como para pasarla recordando contraseñas.

Imagen: Psyomjesus (vía Wikimedia Commons)

Tiro al aire es mi columna mensual en la revista ENTER.CO.

De acuerdo con el medio, Twitter notificó a millones de usuarios que sus cuentan están en riesgo debido a que se filtró una base de datos con cerca de 33 millones de nombres de usuario y contraseñas de la red social de microblogging.

Esta filtración de datos se suma a una reciente información sobre robo de datos de cuentas de LinkedIn, que se dio en 2012 pero hasta ahora está está dejando ver sus repercusiones. Esto debido a ciertos factores como que las personas no cambian su contraseña de manera periódica y suelen usar una misma contraseña en diferentes servicios, como le ocurrió a Mark Zuckerberg recientemente.

Volviendo al tema de Twitter, la compañía no ha confirmado cuántas cuentas estarían comprometidas, pero el encargado de seguridad de la información de Twitter, Michael Coates, afirmó que están seguros de que estos datos no fueron robados directamente de los computadores de la empresa.

Incluso si tu cuenta no estuviera comprometida, deberías cambiar la contraseña de Twitter

La mejor forma de minimizar estos riesgos es cambiar las contraseñas cada cierto tiempo, como nos toca hacerlo con los bancos. Mi banco suele pedirme que cambie los dos PIN al menos una vez cada seis meses. Es algo molesto, pero sé que es una buena medida de seguridad. Este estado ideal no es tan fácil, en especial porque solemos tener muchas cuentas en muchos servicios y cambiar la contraseña es algo para lo que no tenemos tiempo.

Así, están los administradores de contraseñas, que no son infalibles, pero representan una medida de seguridad. Por otro lado, tal vez una de las mejores medidas (si no sueles perder tus celulares) es activar la verificación de dos pasos en todas tus cuentas: así, cada vez que quieras entrar al servicio en un nuevo dispositivo, tendrás que autorizarlo mediante un código que llega por mensaje de texto o una aplicación.

Y tú, ¿tienes alguna recomendación de seguridad adicional?

Imagen: Twitter.

Las cuentas de Twitter e Instagram de Mark Zuckerberg fueron infiltradas el pasado lunes por un hacker que se denomina OurMine, según reportó el supuesto pirata informático en su cuenta de Twitter e informó VentureBeat. De acuerdo con los reportes, el robo de las cuentas fue posible porque que el cofundador de Facebook usaba la misma clave en varios servicios; un error común de seguridad que cometen casi todos los usuarios.

Como cuenta Gizmodo, el asunto comenzó porque la clave de Zuckerberg estaba entre las 117 millones de las que fueron robadas a Linkedin a mediados de mayo. Los presuntos criminales comenzaron a intentar ingresarla en varios servicios, y efectivamente sirvió en Twitter y Pinterest. Las cuentas ya fueron recuperadas y OurMine fue expulsado de Twitter.

El cracker asegura que tuvo control de la cuenta de Instagram de Zuckerberg, algo que fue desmentido por Facebook en una declaración a VentureBeat. De todos modos, el ataque sugiere que el cofundador de FB tiene bien claras sus prioridades, y la clave de Facebook sí está protegida de forma suficiente. De todos modos, ‘Zuck’ no tuiteaba desde 2013.

La clave es no repetir contraseñas

¿Cómo evitar que esto te pase? Una regla básica es no usar la misma contraseña para todos los servicios, ni repetir contraseñas entre varios de ellos. Sí: es difícil recordar las claves de todos ellos de memoria, pero para eso puedes usar un administrador de claves como LastPass o 1Password.

Otra medida que puedes tomar es activar la autenticación en dos pasos de todos tus servicios. De esta manera, aun si un usuario malicioso tiene tu contraseña no va a poder acceder a tus servicios.

Foto: Donkey Hoty.

La firma de seguridad Trustwave Spiderlabs reencontró un bot que robó más de dos millones de contraseñas de sitios tan populares como Facebook, Google y Yahoo! Se especula que el ataque fue perpetuado por una mafia que logró usar un programa llamado Pony para registrar el tecleado del usuario y así determinar las contraseñas de los sitios ya mencionados. El bot -que usa varias máquinas infectadas para recolectar la información- lleva funcionado con cierta regularidad y ha evolucionado varias veces para evitar su detección.

La firma de seguridad dice que los criminales tienen en su poder más de 1.580.000 de contraseñas, 320.000 credenciales de correo electrónico, y hasta 3.000 credenciales de acceso remoto.

La BBC dice que la pandilla seguramente ya colgó la información y está pidiendo una suma de dinero para revelar la totalidad de la base de datos. El rayo de luz en medio de la tormenta es que mucha de la información es vieja. Sin embargo, Graham Cluley, experto en seguridad dijo que “el 30 o el 40% de las personas usan la misma contraseña para varios servicios de internet”.

Trustwave aseguró que antes de publicar el post con toda la información contactó a las organizaciones afectadas para que tomaran las medidas necesarias para garantizar la integridad de las cuentas vulneradas. Facebook dijo que ya le comunicó a todos los afectos la situación e inició el proceso para establecer una nueva contraseña.

Este tipo de ataques son muy complicados de detener. Como los criminales informáticos saben que las empresas tienen las herramientas más robustas, buscan al usuario que en muchas ocasiones es el eslabón más débil de la cadena. Con un ‘key-logger’ pueden conseguir la información necesaria para vulnerar la seguridad de un usuario y hasta pasar por él.

Como siempre, desde ENTER.CO hacemos una recomendación de tener el antivirus y el resto de programas actualizados y tomar las más básicas medidas de seguridad. No abra correos desconocidos, tenga mucho cuidado al entrar a páginas sospechosas y nunca comparta información bancaria o credenciales de portales de internet. Todas las empresas ya tienen protocolos para impedir que un asesor de servicio al cliente le pida su contraseña. Tenga eso en cuenta cuando alguien le pida su clave.

Para darse cuenta de la falta de consciencia de los consumidores, Trustware encontró que más de 15.000 personas usaron la clave ‘12345’. para sus servicios.

Tras el episodio sufrido por Linkedin y Last.fm, la nueva víctima del robo de contraseñas es Yahoo!. La firma confirmó que “se encuentra actualmente investigando los reportes sobre la integridad de las claves de usuario de Yahoo!”. Según la BBC, se trata de la información de registro de 400.000 cuentas, aunque para PC World son más de 450.0o0.

Los reportes llegan luego de que un grupo de hackers conocido como D33ds publicó el listado de los usuarios y contraseñas en un sitio de Internet. La técnica utilizada se conoce como inyección SQL y es la misma con la que LulzSec robó millones de credenciales de PlayStation Network el año pasado. “Esperamos que los responsables de manejar la seguridad del subdominio tomen esto como una llamada para despertarse, no como una amenaza“, dijeron los atacantes. El sitio donde apareció la lista de contraseñas está fuera del aire, pero el archivo está disponible en redes P2P y cyberlockers.

Un vocero de Yahoo! dijo inicialmente que las claves fueron obtenidas tras atacar al servicio Yahoo! Voice, de telefonía y videoconferencia, y un investigador de la firma F-Secure afirmó a PC World que eso era lo más probable. Sin embargo, el grupo de hackers no lo ha confirmado, y Yahoo! dijo en una declaración posterior que no tenía certeza de ello.

Según F-Secure, las contraseñas más utilizadas entre las que fueron filtradas son -de nuevo- las más inseguras: cosas como ‘123456’, ‘password’, ‘welcome’, ‘123456789’ o ‘qwerty’. Si usted es usuario de Yahoo! Voice, lo más importante es que modifique inmediatamente su contraseña. Y si su clave es una de esas -en ese servicio o en cualquier otro-, ¡por favor cámbiela! Aquí le ofrecemos pautas para hacerlo.

La filtración se conoce luego de que Formspring.me, un servicio social de preguntas y respuestas, deshabilitara las contraseñas de todos sus usuarios luego de haber sido víctima de un robo de este tipo. La medida afectó a los 420.000 usuarios del sitio.