¿Cómo puedes saber si tu cuenta de correo ha sido filtrada?

Las cuentas de correo electrónico (o email) son a día de hoy un servicio del que todos hacemos uso, además existen una amplia variedad de empresas (en su mayoría monopolios) que nos ofrecen la posibilidad de crearnos una cuenta de correo electrónico gratuita para usarlas acorde a nuestras necesidades, ya sean para utilizarlas en un entorno empresarial, educativo o personal. Entre los servicios de correo más utilizados están los siguientes: Gmail (desarrollado por Google), Outlook (servicio de Microsoft) o Yahoo Mail (pertenece a Yahoo). Si tuviera que elegir alguno de estos tres proveedores de correo, personalmente no elegiría a ninguno como mi favorito, ya que hay mejores opciones para elegir, que ofrecen las mismas funciones y priorizan además la privacidad de los datos de sus usuarios. En posteriores publicaciones, escribiré específicamente sobre ello con más detalle.

En su conjunto, los servicios de correo electrónico, no solo permiten intercambiar mensajes de texto, sino también adjuntar archivos como pueden ser documentos, imágenes o vídeos. Además, muchas cuentas ofrecen funciones adicionales como la organización de correos en carpetas, filtros de spam, calendarios, contactos y almacenamiento en la nube.

Por ello, considero importante que independientemente del servicio de correo que se utilice, debemos de mantener a salvo nuestra información ante posibles ataques que se hayan producido. En esta publicación, explicaré cómo puedes saber si tu cuenta de email ha sufrido una posible filtración. Así que si te interesa, te invito a que sigas leyendo hasta el final de la entrada.

Brechas de seguridad

Sabiendo que cuando se produce una brecha de seguridad en una plataforma, incidente en el cual los datos de carácter personal de los usuarios se ven directamente afectados, dichas plataformas deberán de establecer una serie de medidas para resolver la brecha y minimizar las consecuencias, además de evitar que vuelva a producirse lo mismo en un futuro.

Como usuarios de Internet y de la red en general que somos, son muchas las plataformas que utilizamos en nuestro día a día. En la mayoría de estas plataformas, uno de los datos que siempre será necesario para registrarnos y poder usar su servicio será nuestro correo electrónico.

¿Pero qué pasaría si alguna de esas plataformas ha sufrido un ataque de seguridad y ni tan siquiera lo sabemos?. Seguramente, el correo electrónico que hemos usado para darnos de alta en esa plataforma, podría haber sido expuesto. Para poder comprobar si nuestro correo electrónico ha sido filtrado, podemos utilizar una herramienta llamada Have I Been Pwned.

¿Qué es y para qué sirve Have I Been Pwned?

La página web Have I Been Pwned (HIBP) es un servicio, el cual nos permite verificar si nuestra dirección de correo electrónico o contraseña han sido comprometidas en filtraciones de datos conocidas. Have I Been Pwned fue creado en el año 2013 por Troy Hunt, director regional de Microsoft, programador y conferenciante internacional sobre seguridad de la información. Además de Troy, en el proyecto colaboran:

Charlotte Hunt, encargada de la logística, de los aspectos jurídicos y financieros de la plataforma.

Stefán Jökull, encargado de mantener y optimizar el código base de la plataforma.

La función principal de Have I Been Pwned es identificar si la información personal (correo electrónico y contraseña del usuario) ha sido expuesta en alguna brecha de seguridad. Al ingresar una dirección de correo electrónico, el sitio mostrará una lista de filtraciones de datos en las que la información del usuario ha estado involucrada, incluyendo detalles como la fecha de la filtración, empresa afectada y los tipos de datos comprometidos. Esas filtraciones se deben principalmente a vulnerabilidades en las propias páginas y servicios que tengamos asociados a nuestro email.

¿Cómo funciona Have I Been Pwned?

Have I Been Pwned recopila diferentes datos de múltiples filtraciones públicas y los organiza en una base de datos. Cuando el usuario introduce información, el sistema la compara con su base de datos para determinar si ha sido comprometida. Además, ofrece una función para verificar si una contraseña específica ha sido expuesta previamente, sin la necesidad de asociarla a la cuenta. Para acceder a Have I Been Pwned: https://haveibeenpwned.com

No recopilan ni almacenan información personal cuando el usuario realiza una búsqueda, es decir, los datos de búsqueda introducidos no serán almacenados en HIBP. La función de búsqueda de contraseñas, estará cifrada con el algoritmo SHA-1 utilizado para proteger dicha contraseña. Sólo se enviarán a HIBP los primeros cinco caracteres del hash generado, haciendo que nunca reciba la contraseña original.

La plataforma nos permite:

• Notificarnos si en un futuro nuestra cuenta será comprometida (requiere registro previo).

• Comprobar si nuestro correo electrónico o contraseña ha sido filtrada en algún servicio online que usemos.

• Consultar a detalle cada filtración.

• Búsqueda por dominio.

• Acceder a una lista de páginas web que hayan sufrido una brecha de seguridad.

Entre las filtraciones de datos de páginas web conocidas, se encuentran las siguientes:

• Adobe en el año 2013.

• Malwarebytes en el año 2014.

• Linkedin en el año 2016.

• Canva en el año 2019.

• Adecco en el año 2019.

• Facebook en el año 2021.

• Internet Archive en el año 2024.

Para visitar la lista completa: https://haveibeenpwned.com/PwnedWebsites

¿Cómo proteger nuestras cuentas?

Estas son algunas medidas básicas a tomar en cuenta si al utilizar Have I Been Pwned descubres que tu información personal ha sido expuesta en alguna filtración:

• Cambia tus contraseñas comprometidas: Prioriza aquellas cuentas que hayan sido afectadas y cualquier otra donde hayas utilizado la misma contraseña. Es recomendable cambiar las contraseñas con cierta frecuencia.

• Activa la autenticación en dos pasos (2FA): Método de seguridad adicional, en el que además de introducir la contraseña habitual, se deberá de proporcionar un segundo factor de verificación, que generalmente es un código temporal enviado al teléfono móvil, generado por una aplicación de autenticación o enviado por correo electrónico.

• Utiliza un gestor de contraseñas: Herramientas como KeePassXC te permiten guardar los nombres de usuario de inicio de sesión, generar contraseñas robustas y almacenarlas de forma segura, evitando repetir claves entre distintos servicios.

Y hasta aquí el final de esta entrada.

Bibliografía: https://haveibeenpwned.com/About