Por qué se filtran las contraseñas

La frase «hackearon mi contraseña» sugiere que alguien probaba combinaciones para entrar en tu correo. En realidad, casi siempre hackean el servicio: una tienda, un foro o una empresa de reparto. Se llevan la base de datos entera - millones de registros de una vez - y tu contraseña es solo uno de ellos.

Un servicio cuidadoso no guarda la contraseña. Guarda un hash - una huella irreversible calculada con una sal aleatoria, distinta para cada usuaria, y un algoritmo deliberadamente lento: así, extraer contraseñas de una base robada resulta caro. Pero no todos lo hacían. En algunos sitios las contraseñas estaban en texto plano; en otros, usaban un hash rápido que una tarjeta gráfica prueba con miles de millones de variantes por segundo.

Después ya no es hackeo, sino aritmética. Tu identificador casi siempre es el mismo: tu dirección de correo. Si también repites la contraseña, la combinación «correo + contraseña» de una base robada sirve a la vez para tu buzón, una tienda en línea y tu cuenta de juego.

Por eso una filtración tiene una segunda vida. Los bots prueban listas ya preparadas de combinaciones en cientos de sitios seguidos - se llama relleno de credenciales. Funciona pocas veces, en una fracción de porcentaje de los intentos, pero cuando hay millones de combinaciones, son decenas de miles de cuentas ajenas. Solo rompe la cadena un segundo factor: un código o una llave de seguridad que no estaba en la base.

De ahí sale una conclusión frustrante: la longitud y los caracteres especiales casi no influyen en si una contraseña se filtra, solo en cuánto tardarán en recuperarla a partir del hash. Lo que te protege de una filtración no es la complejidad, sino no repetirla. Otra cuestión es la costumbre de cambiar la contraseña cada 3 meses: no hay pruebas de que reduzca el riesgo, pero sí se ve que se cambian de forma predecible, añadiendo un número a la contraseña anterior. En 2017, NIST eliminó de sus recomendaciones el requisito de cambiar la contraseña según un calendario.

Una filtración tiene una larga vida útil: una base puede circular durante años antes de aparecer en un archivo público - la totalidad de los datos robados de LinkedIn se publicó 4 años después del hackeo. Por eso el correo «tus datos estuvieron en una filtración» puede referirse a un servicio que olvidaste hace tiempo.

La primera reacción a ese correo es correr a cambiarlo todo y dejarlo a medias. Es más útil ir por orden: primero el correo y luego los servicios con la misma contraseña.