Pwned: en la jerga hacker, comprometer la seguridad o robar el control de un sistema, una aplicación, un sitio web o similar.
En octubre de 2013 robaron 153 millones de cuentas de usuarios registrados en Adobe. En 2011 quedaron al descubierto millones de cuentas de usuarios de PlayStation Network. Son solo un par de ejemplos entre los cientos de servicios y webs que han visto comprometida su seguridad.
Sabiendo esto, una buena pregunta sería: ¿y a mí en qué me afecta?
Pues quizá en nada, o quizá en mucho. Dejad que me explique:
¿Cuántos de vosotros tenéis una contraseña distinta para cada sitio?
¿Cuántos usáis siempre la misma para todo?
¿Estáis seguros de que ninguna de las webs o servicios donde estáis registrados con esa contraseña ha quedado al descubierto?
¿Qué puede pasar si teníais una cuenta en uno de esos servidores?
Si no tenéis respuesta para todas estas preguntas, dejadme arrojar un poco de luz. Todos esos datos robados se pueden encontrar fácilmente por Internet. Con unas cuantas búsquedas en Google, alguien con malas intenciones podría localizar nuestro correo electrónico en una de esas listas y, junto al correo, la contraseña con la que estábamos registrados. Y si usábamos esa misma contraseña para todos los servicios, alguien podrá entrar en nuestro correo, Facebook, Twitter, PayPal o hosting, por poner algunos ejemplos. Podrá espiar todos nuestros datos de forma anónima o tomar el control y dejarnos fuera de nuestras propias cuentas.
¿Cómo podemos saber si nuestro nombre de usuario o correo está en alguna de esas listas?
Hay webs que se dedican a indexar estas listas y que, con una consulta, nos dicen si hemos sido pwned o no. La más conocida es haveibeenpwned.com: con una simple consulta de nuestro correo nos dirá si nuestra contraseña puede estar circulando libremente por la red. (En el artículo original también recomendaba pwnedlist.com, que ya ha cerrado.)
Yo ya tuve que tomar medidas después de saber que mi cuenta estaba entre las 153 millones robadas a Adobe. Y tú, ahora que lo sabes, ¿qué piensas hacer?
Actualización: hoy la mejor defensa es usar un gestor de contraseñas, con una contraseña diferente para cada servicio, y activar la verificación en dos pasos allí donde se pueda.
Traducción hecha con ayuda de IA a partir del artículo original.