¿Alguna vez te has despertado con un correo de «alguien ha intentado acceder a tu cuenta» y has sentido ese pequeño escalofrío recorriendo tu espalda? No estás solo. La verdad es que, en el mundo hiperconectado en el que nos movemos, la seguridad es poco más que una ilusión que mantenemos para poder dormir por las noches. Hace no mucho, Vinny Troia, una de esas mentes que ven el código donde nosotros vemos botones de colores, se pasó por el programa de Gerri Willis en Fox Business para desgranar un caso que, aunque parece lejano, nos toca muy de cerca a todos: el hackeo a StubHub.
Vinny Troia no es el típico hacker que sale en las películas, ese que teclea a toda velocidad en una habitación a oscuras con una sudadera puesta. Es el CEO de Night Lion Security y, para que nos entendamos, se dedica a pensar como los malos para proteger a los buenos. En su intervención en The Willis Report, dejó claro que el problema no fue una vulnerabilidad mágica en los servidores de la empresa, sino algo mucho más mundano y, por tanto, mucho más peligroso. Y es que, al final del día, el eslabón más débil siempre somos nosotros, los usuarios.
Lo que pasó con StubHub es un ejemplo de libro de lo que en el mundillo del hacking llamamos «Account Takeover» o ATO. No es que un genio de la informática rompiera el cifrado de la base de datos de la compañía. Vaya, que no fue un ataque de fuerza bruta contra la infraestructura central. Lo que ocurrió fue que los atacantes utilizaron credenciales (usuarios y contraseñas) que ya habían sido filtradas en otros hackeos previos. Si usas la misma clave para tu correo, para Facebook y para comprar entradas de conciertos, estás pidiendo problemas a gritos.
Troia explicaba que los atacantes simplemente probaron combinaciones que ya tenían en su poder. Es como si alguien robara las llaves de un gimnasio y decidiera probar si alguna de esas llaves abre también la puerta de tu casa. La sorpresa es que, en miles de casos, así fue. La verdad es que nos da pereza cambiar las contraseñas, y los cibercriminales viven precisamente de esa desidia nuestra.
En España, este tipo de ataques son el pan de cada día. Empresas como Telefónica o incluso instituciones públicas han tenido que lidiar con situaciones similares donde la puerta de entrada no fue una ventana rota, sino una llave que el usuario dejó debajo del felpudo sin darse cuenta. La ciberseguridad aquí a veces se percibe como algo de «expertos», pero Troia insiste en que es una responsabilidad compartida.
¿Cómo funciona realmente un ataque de relleno de credenciales?
Para que nos entendamos, el credential stuffing es un proceso automatizado. Los hackers no están ahí probando a mano. Utilizan herramientas que lanzan miles de intentos por segundo. Si mal no recuerdo, Troia mencionaba que la escala de estos ataques es lo que los hace tan efectivos. Si tienes una lista de un millón de correos y contraseñas filtradas de un sitio X, y solo el 0,1% de la gente repite esa clave en StubHub, ya tienes mil cuentas comprometidas. Así de simple y así de crudo.
Imagina un script sencillo. No hace falta ser un ingeniero de la NASA para entender la lógica detrás de esto. Aquí te dejo un ejemplo de cómo se vería, de forma muy simplificada y con un toque de ironía, el esqueleto de lo que estos tipos lanzan contra los servidores:
# El kit del pequeño hacker perezoso
import requests
# Lista de víctimas que no usan gestor de contraseñas (mal hecho)
combo_list = [("usuario1@ejemplo.es", "password123"), ("paco@correo.com", "betis007")]
for usuario, password in combo_list:
# Intentamos entrar como quien no quiere la cosa
respuesta = requests.post("https://sitio-objetivo.com/login", data={"user": usuario, "pass": password})
if "Bienvenido" in respuesta.text:
print(f"¡Bingo! Hemos entrado en la cuenta de {usuario}. A ver qué podemos comprar.")
else:
print(f"Fallo con {usuario}. Este parece que sí se leyó el blog de aquinohayquienviva.es.")
Ojo con esto: el código de arriba es una caricatura, pero la realidad no dista mucho. Los atacantes usan proxies para que no los bloqueen por pesados y herramientas mucho más sofisticadas que manejan las cookies y los tokens de sesión como si fueran suyos. La conclusión que saco de todo esto es que, si no tienes un segundo factor de autenticación (ese mensajito al móvil que tanto nos molesta), estás prácticamente desnudo en la red.
La Dark Web: El mercado de saldos de nuestra privacidad
Durante la entrevista, Gerri Willis le preguntó a Troia sobre dónde acaba toda esta información. Y aquí es donde la cosa se pone turbia de verdad. Vinny Troia pasa mucho tiempo monitorizando foros en la Dark Web, esos rincones de internet donde no entra Google y donde se comercia con todo lo que te puedas imaginar. Los datos de las cuentas de StubHub no se usaron solo para robar entradas, sino que se vendieron en packs.
La verdad es que hay todo un ecosistema económico ahí abajo. Una cuenta con tarjeta de crédito vinculada tiene un precio; una cuenta con historial de compras, otro. Es un mercado de valores, pero de la delincuencia. Troia mencionaba que grupos como «The Dark Overlord» o similares operan con una estructura casi empresarial. Tienen su departamento de marketing, su soporte técnico y, por supuesto, sus objetivos bien definidos.
En el contexto español, hemos visto cómo bases de datos de usuarios de foros populares o incluso de tiendas de e-commerce locales terminan en estos mercados por unos pocos Bitcoins. Lo que nos enseña Troia es que el hackeo a una gran empresa estadounidense tiene ondas de choque que llegan hasta aquí. Si tus datos están en una brecha de seguridad en EE.UU., es muy probable que un tipo en cualquier otra parte del mundo esté intentando usarlos para entrar en tu cuenta bancaria en España cinco minutos después.
El papel de Night Lion Security
La empresa de Troia, Night Lion Security, se especializa en la atribución. Es decir, no solo dicen «te han hackeado», sino que intentan ponerle nombre y apellidos al responsable. Esto es vital porque, a menudo, las empresas se limitan a poner un parche y seguir adelante, sin entender quién los ha atacado ni por qué. Troia es un firme defensor de que la mejor defensa es un buen ataque… o al menos una investigación profunda que deje a los criminales sin sitio donde esconderse.
A veces me pregunto si realmente somos conscientes de la guerra silenciosa que se libra en nuestros routers. Troia parece alguien que ha visto demasiadas cosas en esos foros oscuros, y su tono en la entrevista reflejaba esa mezcla de urgencia y resignación. «La gente no cambia sus contraseñas hasta que es demasiado tarde», venía a decir. Y tiene toda la razón del mundo.
¿Por qué las empresas siguen fallando?
Uno pensaría que con los presupuestos millonarios que manejan gigantes como StubHub, estas cosas no deberían pasar. Pero la realidad es que la seguridad es cara y, a veces, incómoda para el usuario. Si pones demasiadas trabas para entrar, el usuario se va a la competencia. Es el eterno dilema entre usabilidad y protección.
Además, está el problema del «Shadow IT». En muchas empresas, hay departamentos que contratan servicios en la nube o montan servidores sin avisar al equipo de seguridad. Esos son los agujeros por los que se cuelan los problemas. Troia señalaba que, en el caso de StubHub, la detección fue lenta. Los atacantes estuvieron operando durante semanas antes de que alguien saltara la alarma. Eso, en términos de ciberseguridad, es una eternidad.
- Falta de monitorización en tiempo real de intentos de login fallidos.
- No forzar el cambio de contraseña tras filtraciones masivas en otros sitios.
- Sistemas de detección de bots que son fácilmente sorteables por scripts modernos.
- Y, por supuesto, el factor humano: empleados que caen en phishing y abren la puerta de atrás.
Para que nos entendamos, es como si tuvieras una caja fuerte blindada pero te dejaras la combinación apuntada en un post-it pegado en la puerta. De nada sirve el acero si el proceso falla.
La realidad en España: ¿Estamos mejor o peor?
A ver, no nos engañemos. En España tenemos un tejido empresarial formado mayoritariamente por PYMES que, seamos sinceros, no tienen a un Vinny Troia en nómina. Muchas veces, la seguridad informática se ve como un gasto y no como una inversión. Sin embargo, la Agencia Española de Protección de Datos (AEPD) se ha puesto muy seria. Las multas por no proteger adecuadamente los datos de los usuarios pueden ser de órdago, llegando a porcentajes significativos de la facturación anual.
Aun así, seguimos viendo casos sangrantes. La verdad es que, a nivel técnico, los atacantes no distinguen fronteras. Un servidor en Madrid es igual de jugoso que uno en San Francisco si contiene datos de tarjetas de crédito. Lo que nos diferencia, quizás, es la cultura de la prevención. En Estados Unidos, tras años de brechas masivas, hay una conciencia un poco más madura (aunque casos como el de StubHub demuestren que aún queda mucho por hacer). Aquí en España, todavía estamos en esa fase de «a mí no me va a pasar» hasta que, de repente, te pasa.
Instituciones como el INCIBE hacen una labor fantástica de divulgación, pero al final del día, si el dueño de una tienda online no actualiza su WordPress o no implementa un sistema básico de defensa, poco se puede hacer. La charla de Troia en Fox Business debería ser de visionado obligatorio para cualquier gestor de sistemas, ya sea de una multinacional o de la tienda de barrio que vende online.
Consejos prácticos (y un poco de sentido común)
Después de escuchar a expertos como Troia, uno se queda con ganas de desconectar el router y volver a las señales de humo. Pero como eso no es práctico, lo mejor es tomar medidas que, aunque parezcan pesadas, nos salvarán el pellejo. Aquí van unas cuantas que yo mismo aplico (o intento aplicar, que la pereza es humana):
- Usa un gestor de contraseñas: Deja de intentar recordar 50 claves distintas. Usa herramientas como Bitwarden o 1Password. Solo tienes que recordar una clave maestra (que sea larga y rara, por favor) y ellos se encargan del resto.
- El Segundo Factor de Autenticación (2FA) no es opcional: Si el servicio te ofrece mandarte un código al móvil o usar una app como Google Authenticator, hazlo. Es la diferencia entre que te roben la cuenta en 5 segundos o que no puedan entrar ni aunque tengan tu contraseña.
- Desconfía de los correos urgentes: Si recibes un mail de tu banco o de una tienda diciendo que tu cuenta va a ser borrada si no pinchas en un enlace… respira. Entra tú directamente en la web oficial escribiendo la dirección en el navegador. Nunca pinches en el enlace del correo.
- Revisa tus cuentas antiguas: Todos tenemos cuentas en sitios que ya no usamos. Si esos sitios sufren un hackeo, tus datos estarán ahí fuera. Si no usas un servicio, borra la cuenta. Menos exposición, menos riesgo.
El futuro de la ciberseguridad según los expertos
La entrevista de Vinny Troia nos deja una reflexión interesante sobre hacia dónde vamos. Con la llegada de la Inteligencia Artificial (y no me refiero a la que escribe poemas, sino a la que analiza patrones de datos a velocidad de vértigo), los ataques van a ser cada vez más personalizados y difíciles de detectar. Los «malos» ya están usando IA para crear correos de phishing que no tienen ni una falta de ortografía y que imitan perfectamente el tono de tu jefe o de tu hermano.
La conclusión que saco de todo esto es que la tecnología por sí sola no nos va a salvar. Necesitamos una combinación de mejores herramientas (como las que desarrolla Night Lion Security) y una mayor educación digital. No podemos seguir siendo analfabetos funcionales en un mundo que corre sobre bits.
Vaya, que el panorama es complejo, pero no desesperanzador. Al final del día, se trata de ponérselo un poco más difícil al atacante que al vecino. Los hackers suelen ir a por la fruta que cuelga más bajo, a por lo fácil. Si sigues unos pasos básicos, ya estarás por delante del 90% de la población en términos de seguridad.
Para cerrar este análisis sobre la intervención de Troia, me quedo con una frase que suele repetir en sus conferencias: «La seguridad perfecta no existe, solo existe la gestión del riesgo». Y cuánta razón tiene. No podemos evitar que intenten atacarnos, pero sí podemos decidir cuántas puertas les dejamos abiertas. Así que, ya sabes, aprovecha que has terminado de leer esto y vete a cambiar esa contraseña que llevas usando desde 2015. Tu «yo» del futuro te lo agradecerá.
La verdad es que hablar de estos temas te deja un poco inquieto, pero es mejor estar alerta que vivir en la ignorancia. Al final, como bien dice Troia, la información es poder, y en este caso, la información sobre cómo nos roban la información es nuestra mejor arma. Mantente seguro, usa el sentido común y, sobre todo, no le pongas las cosas fáciles a los que viven de lo ajeno en la red.
Deja una respuesta