Acabo de recibir un email diciendo que una de mis cuentas antiguas podría haber sido incluida en alguna filtración de hace unos años. Ni siquiera me acuerdo en qué sitios usé esa contraseña. ¿Hay alguna forma de verificar si mis contraseñas reales están dando vueltas por ahí, o simplemente tengo que cambiar todo?
Usa un servicio como Have I Been Pwned para verificar si tu correo electrónico o nombre de usuario aparece en brechas conocidas. Entra al sitio, escribe tu dirección de correo, y te dirá en cuáles brechas apareció tu cuenta. Esto no expone tu contraseña real - solo te dice si ese correo formó parte de una brecha que ha sido documentada. Si tu correo aparece, sabes que algo pasó con esa cuenta.
Lo complicado es que las contraseñas en sí no suelen estar flotando públicamente en bases de datos buscables. Lo que se expone en las brechas típicamente son contraseñas hasheadas, que son versiones codificadas que son más difíciles (pero no imposibles) de descifrar. Así que en la mayoría de los casos no vas a encontrar tu contraseña en texto plano por ahí. Dicho esto, si fue una brecha muy vieja y el hashing era débil, hay chances de que alguien la haya descifrado para entonces - pero no es algo que puedas verificar fácilmente tú mismo.
Lo mejor es que cambies la contraseña de esa cuenta de inmediato, y si reutilizaste esa misma contraseña en otro lado, cámbiala en esos sitios también. Aquí es donde un gestor de contraseñas realmente viene bien si no tienes uno - te permite generar y llevar la cuenta de diferentes contraseñas fuertes para todo sin que se te derrita el cerebro intentando recordarlas todas. Y de ahora en adelante, usar contraseñas únicas por sitio significa que una brecha no abre de par en par todas tus cuentas.
Los servicios de notificación de brechas cubren direcciones de correo electrónico en bases de datos filtradas, pero aquí está el problema: en realidad no pueden decirte si tu contraseña específica está ahí afuera, solo que tu cuenta fue comprometida. Lo que importa más es si reutilizaste esa contraseña en otro lugar, porque los atacantes probarán las credenciales robadas en múltiples sitios.
Hace años mi correo antiguo quedó atrapado en una brecha y efectivamente lo encontré en esos sitios de verificación, pero lo que realmente ayudó fue revisar mi gestor de contraseñas y ver cuáles cuentas tenían esa misma contraseña. Cambié esas primero, y después las demás. Si no recuerdas en qué sitios usaste esa contraseña, honestamente quizá valga la pena hacer un reset completo en cualquier cosa importante: cuentas que tengan información de pago, acceso de recuperación de correo, ese tipo de cosas. Las contraseñas en texto plano casi nunca se filtran en una forma útil para los atacantes; lo que generalmente se roba son hashes, así que aunque tu contraseña esté "ahí afuera", descifrarla requiere un esfuerzo real.
Lo que nadie realmente te dice es que incluso si tu email aparece en una filtración, tu contraseña casi nunca está ahí expuesta y legible. La mayoría de los sitios usan hash para las contraseñas, lo que significa que están codificadas de una manera que es súper difícil de revertir. Así que cuando recibes esa notificación, generalmente significa que filtraron tu email y usuario, no la contraseña en sí - a menos que el sitio haya sido muy negligente con la seguridad.
Dicho esto, aún tienes que tomarlo en serio porque los hackers van a intentar tu email + contraseñas comunes u otras de filtraciones anteriores contra tus otras cuentas. Me enteré el año pasado de que un viejo foro que había usado hace años fue atacado, y aunque las contraseñas reales no fueron expuestas, alguien intentó acceder a mi email con credenciales filtradas de otro sitio. Lo atrapé gracias a las alertas de inicio de sesión, pero fue una llamada de atención.
Lo que realmente importa es esto: si usaste esa contraseña en otros lugares, cámbiala en esas cuentas primero, empezando por email y cosas de banco. Después de eso, sí, pásala por Have I Been Pwned como mencionaron las respuestas anteriores - pero enfócate en el lado del email/usuario, no en intentar verificar si la contraseña en sí está por ahí. De ahora en adelante, solo usa un gestor de contraseñas para que no estés reutilizando nada, y no tendrás que pasar noches en vela preguntándote qué sitios tienen qué. Solo toma como veinte minutos configurarlo y te evita exactamente este dolor de cabeza más adelante.
Una vez que hayas revisado esas bases de datos de brechas y sepas qué cuentas fueron comprometidas, lo práctico es cambiar tu contraseña en ese sitio primero, y después en cualquier otro lugar donde hayas reutilizado la misma contraseña, que probablemente es por lo que estás estresado por esto. La buena noticia es que aunque la brecha incluyera hashes de contraseñas, no están simplemente legibles en algún archivo txt; el verdadero riesgo es si alguien las ejecuta a través de una herramienta de cracking, pero eso toma tiempo y esfuerzo en brechas antiguas. Lo que importa más es si reutilizaste esa contraseña en cosas importantes como correo electrónico o banca, ya que esas se atacan primero.
Iniciar sesiónpara responder.
