Un reciente reporte de Have I Been Pwned señala que las contraseñas descifradas de más de 7 millones de usuarios de la popular plataforma DatPiff están a la venta en una plataforma ilegal en dark web. Cabe recordar que este es un servicio de hosting de mixtapes empleada por casi 15 millones de usuarios, permitiéndoles cargar y descargar diversas piezas musicales de forma gratuita.
Aunque se desconoce cómo ocurrió la brecha de datos, especialistas en ciberseguridad pudieron confirmar que la información fue inicialmente vendida a un único comprador y posteriormente publicada en foros de hacking a mediados de 2020. En total, esta base de datos contiene 7, 476,940 registros, los cuales incluyen nombres de usuario, direcciones email, contraseñas cifradas y preguntas de seguridad.
A finales de noviembre de 2021, la base de datos fue puesta a la venta nuevamente en un foro de hacking, aunque esta vez las contraseñas habían sido descifradas, por lo que se vendían en texto sin formato junto con la dirección email correspondiente.
Especialistas en ciberseguridad creen que estas contraseñas podrían haber sido descifradas debido a que DatPiff usa codificación con el algoritmo MD5, considerada una implementación bastante insegura y, por lo tanto, obsoleta en la actualidad.
Para descifrar las contraseñas MD5, los hackers pueden comparar hashes con listas de palabras MD5 conocidas o utilizar herramientas de fuerza bruta. A finales de 2021, se reportó que los actores detrás de esta brecha de seguridad utilizaron un escáner de vulnerabilidades que les permitió acceder al servidor de DatPiff; no obstante, el ataque no habría violado el sitio web real, sino un servidor con una copia de seguridad de la base de datos antigua.
Hasta el momento de redacción del artículo la compañía no se ha pronunciado al respecto, por lo que es tiempo de que los usuarios tomen sus propias precauciones. La principal recomendación es el restablecimiento de contraseñas para todas sus plataformas en línea, ya que los actores de amenazas podrían usar esta información para el despliegue de ataques de rellenado de contraseñas y otras variantes de hacking. Si no está seguro sobre el estado de su información en DatPiff, vaya a Have I Been Pwned y verifique si su dirección email está incluida en la filtración.
Para conocer más sobre riesgos de seguridad informática, malware, vulnerabilidades y tecnologías de la información, no dude en ingresar al sitio web del Instituto Internacional de Seguridad Cibernética (IICS).
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.