Tu clave puede estar circulando sin que lo sepas. Un correo filtrado se confirma en pocos minutos, y cómo comprobarlo no exige instalar nada: basta tu dirección de correo y el servicio Have I Been Pwned, creado por el experto en seguridad Troy Hunt. El resultado dice en qué brechas apareció tu dirección y qué datos salieron con ella.
Una filtración o brecha ocurre cuando una empresa o un servicio pierde una base de datos con correos, claves, teléfonos o direcciones. Esa bola de datos no se queda quieta. Los atacantes la cruzan con otras listas y prueban las mismas claves en bancos, tiendas y redes sociales, porque millones de personas repiten una sola contraseña en todo. Las compilaciones enormes, como los 10.000 millones de contraseñas filtradas en una sola colección, alimentan ese ensayo automático durante años.
Correo filtrado: cómo comprobarlo en Have I Been Pwned
WeLiveSecurity, el portal de seguridad de ESET, describe este servicio como la forma más sencilla de saber si tus datos aparecieron en una brecha conocida. El Instituto Nacional de Ciberseguridad de España (INCIBE) lo recomienda para revisar si otras cuentas quedaron expuestas tras un robo. El procedimiento completo toma menos tiempo que preparar un café:
- Abre el navegador y escribe la dirección exacta haveibeenpwned.com, letra por letra, sin entrar desde enlaces que lleguen por correo o por mensajes.
- Escribe tu dirección de correo principal en el cuadro de búsqueda de la portada.
- Pulsa el botón de búsqueda y espera el veredicto de la pantalla.
- Lee el color del resultado: verde indica que tu correo no aparece en las brechas registradas por el servicio; rojo confirma que sí apareció en una o en varias.
- Baja por la página y revisa cada brecha listada, con el nombre del servicio afectado, la fecha del incidente y los tipos de datos expuestos.
- Activa los avisos gratuitos del propio servicio para recibir un correo cuando tu dirección aparezca en una filtración nueva.
Ojo con un detalle que mucha gente pasa por alto. En esa página solo se escribe el correo, jamás la contraseña del correo. Existen copias falsas de comprobadores que piden la clave «para verificarla» y terminan robándola. Si una página te pide tu clave real fuera del servicio dueño de la cuenta, ciérrala. Esa es la trampa, disfrazada de ayuda.
Repite la consulta con tus demás direcciones: la del trabajo, la vieja que usabas para registros y la que recibe los avisos del banco. Cada correo cuenta su propia historia. Una dirección puede salir limpia y otra arrastrar tres brechas de servicios que ni recuerdas haber usado.
Las claves guardadas también hablan: revísalas en el navegador
El correo es solo la mitad del chequeo. La otra mitad vive en el Gestor de contraseñas de Google, que avisa cuando una clave guardada apareció en una filtración, cuando se repite en varias cuentas o cuando es débil. ESET recuerda que Chrome y Firefox ofrecen este tipo de revisión integrada, y Firefox Monitor trabaja con la misma base de datos de Have I Been Pwned. Para correr la revisión de Google:
- Entra en passwords.google.com desde el navegador e inicia sesión con tu cuenta de Google.
- Abre la opción Revisión de contraseñas en la parte superior de la lista.
- Espera el diagnóstico, que separa las claves vulneradas, las reutilizadas y las débiles.
- Toca cada aviso de clave vulnerada y entra al servicio afectado para cambiarla en ese momento.
- Repite el cambio en cada cuenta donde esa misma clave siga viva.
En el iPhone la ruta cambia un poco: Ajustes, Contraseñas y el apartado de recomendaciones de seguridad, donde el sistema marca las claves que aparecieron en filtraciones conocidas. En Android, el Gestor de contraseñas vive dentro de la cuenta de Google y muestra el mismo diagnóstico de Chrome. Da igual la pantalla, el mensaje manda: una clave marcada como vulnerada ya no sirve, aunque siga abriendo la puerta.
Si tu correo filtrado aparece, cambia las claves en este orden
INCIBE aconseja cambiar la contraseña en cada cuenta afectada con combinaciones diferentes, para que una sola fuga no abra el resto de los servicios. El orden importa cuando hay varias. Primero va la clave del correo principal, porque ese buzón restablece todas las demás cuentas. Después tocan los servicios nombrados en la brecha. En tercer lugar, cualquier cuenta donde esa clave se repitió: banca, compras, redes sociales y trabajo.
Cada clave nueva debe ser única y larga. Una frase de varias palabras mezcladas con números supera con facilidad a la clásica palabra con un dígito al final, y un gestor de contraseñas se encarga de recordarla. Acto seguido, activa la verificación en dos pasos en el correo y en la banca, con aplicación de autenticación cuando el servicio la ofrezca. Ese segundo paso frena al atacante que ya tiene tu clave vieja: sabe la combinación, pero le falta tu teléfono.
Queda un cabo suelto que conviene atar el mismo día. Revisa en tu correo los avisos de inicio de sesión que no reconozcas y las reglas de reenvío automático, porque una cuenta expuesta a veces deja una puerta trasera silenciosa. Y repite la consulta en Have I Been Pwned cada cierto tiempo: las brechas viejas siguen apareciendo en colecciones nuevas, con datos de servicios que tardaron años en admitir el robo.
Fuente: WeLiveSecurity — ESET
Foto: ESET
