Desde hace ya un tiempo es habitual ver cómo, regularmente, se produce una nueva brecha de seguridad en empresas que prestan servicios de todo tipo y que implica el robo y posterior difusión de los datos de miles o incluso millones de usuarios.
Sin embargo, cada cierto tiempo se produce un ataque que, bien por el volumen de usuarios afectados como por los detalles que rodean a este ataque (incluidas las pobres medidas de seguridad aplicadas para proteger estos datos privados), destaca sobre el resto.
Datos de los usuarios de 000Webhost comprometidos
Para ponernos en situación y otorgar a este robo de información la importancia que se merece primero hemos de conocer como de importante es la empresa atacada. 000Webhost es uno de los servicios de hosting más importantes con millones de usuarios. A pesar de esta importancia, no parece que los desarrolladores de su web y su portal de acceso para clientes hayan tomado las medidas mínimas de seguridad para garantizar un robo de información como el que parece haberse producido.
Nada menos que 13 millones de cuentas se habrían visto comprometidas y datos como el ID de usuario, nombre, dirección IP, email y contraseña en texto plano se estarían vendiendo desde marzo en foros underground por un precio que podría sobrepasar fácilmente los 2000 dólares.
Todo esto lo sabemos gracias a la investigación realizada por Troy Hunt, experto en seguridad informática, MVP de Microsoft y creador del sitio web HaveIbeenpwned.com, quien fue contactado hace unos días por un usuario anónimo que le proporción los datos de algunos usuarios para que comprobara que eran verídicos.
Respuesta de la empresa de hosting
Como buen investigador responsable, Troy trató por todos los medios intentar contactar con algún responsable de 000Webhost para avisarles de este posible robo de datos. Sin embargo, no tuvo el éxito esperado y siempre chocaba con los servicios de atención que no dejaban de enviarle respuestas genéricas sin posibilidad de trasladar esta consulta a alguien que pudiera verificar este incidente.
Tras varios intentos de comunicación insatisfactorios, Troy contactó con el periodista de Forbes Thomas Fox Brewster para intentar contactar con algún responsable de la empresa e informar adecuadamente para que los usuarios de este servicio de hosting estén al tanto y puedan tomar las medidas adecuadas.
Por su parte, los responsables de la empresa de hosting se han visto obligados a reaccionar para mitigar el alcance de este robo de datos. De esta forma, ha forzado a todos sus usuarios a cambiar las contraseñas y ha bloqueado temporalmente el uso de FTP para subir archivos a las webs por parte de los usuarios, además de eliminar páginas subidas de forma ilícita y cifrar las contraseñas de los usuarios (algo que no se hacía) según informan en una publicación en Facebook.
Reacciones de los usuarios
Estas medidas han pillado a la mayoría de los usuarios por sorpresa cuando han ido a acceder a su portal de clientes y han visto el aviso emitido por la empresa en el que se dice que se ha procedido a resetear sus contraseñas y les instan a cambiarla por una nueva. Además también se recomienda en estos casos cambiar la contraseña en otros servicios en la que fuera reutilizada.
El problema es que estos datos parecen estar circulando y vendiéndose en el mercado negro de los ciberdelincuentes desde hace meses y, aun perdiendo el acceso a las webs gestionadas por los usuarios (algo que podría ser usado para, por ejemplo, propagar malware desde sitios web legítimos), los compradores de esta gran base de datos seguirían contando con millones de correos electrónicos y contraseñas que pueden seguir siendo válidas en otros servicios.
Falta por ver si, ahora que salen a la luz más datos acerca de este robo de información, los usuarios se apresuran a crear nuevas contraseñas de acceso a su cuenta de 000Webhost y a modificar las contraseñas reutilizadas en otras webs y servicios online.
Conclusión
Esta noticia nos demuestra, una vez más, que, cuando se manejan datos de usuarios, las empresas tienen la obligación de mantenerlos seguros aplicando todas las medidas necesarias. 000Webhost no lo hizo y ahora está pagando el precio e incluso podría enfrentarse a acciones legales si algunos usuarios deciden denunciarlos por no cumplir con las medidas de seguridad mínimas.
Según como se manejen este tipo de incidentes, estos pueden suponer para las empresas un leve percance del que aprender y salir más o menos reforzados o representar un problema que termine con el negocio. Por eso es vital no descuidar en ningún momento las medidas de seguridad aplicables a uno de los activos más importantes y que deben estar debidamente protegidos como son los datos de los usuarios. En caso contrario, cualquier empresa podría ser la protagonista de la noticia que acabamos de comentar.