Por Canuto  

Have I Been Pwned incorporó una brecha de 2013 del foro ruso YouHack a su registro, con 7,2 millones de correos únicos y direcciones de unos 107.000 miembros. La revelación también puso de relieve otra filtración, esta vez vinculada al programa de fidelización SberSpasibo.
***

  • La filtración de YouHack contenía 7,2 millones de direcciones de correo únicas; alrededor de 107.000 correspondían a miembros del foro.
  • Los datos de esos miembros incluían nombres de usuario, direcciones IP y hashes de contraseñas MD5 mayormente sin sal.
  • HIBP también informó sobre registros de 48 millones de usuarios de SberSpasibo, con correos, teléfonos, fechas de nacimiento y hashes SHA-1 de números de tarjetas.

 

Una filtración ocurrida en 2013 en YouHack, un foro ruso de cibercrimen, volvió a quedar bajo el foco después de que Have I Been Pwned (HIBP) incorporara los datos a su registro. En una publicación de HIBP, el servicio informó que la brecha expuso direcciones de correo de unos 107.000 miembros y elevó a 7,2 millones el total de direcciones únicas asociadas al conjunto. La información también incluye nombres de usuario, direcciones IP y hashes de contraseñas.

La exposición no se limitó a quienes tenían cuentas en YouHack: el conjunto también contenía millones de credenciales que los participantes habían publicado sobre otras víctimas. The Register informó que los datos recopilados en la brecha terminaron integrados en la llamada Mother of All Breaches de 2024, una colección de 12 TB y 26.000 millones de registros procedentes de numerosas filtraciones.

Una brecha antigua que vuelve a circular

La incorporación de los datos a HIBP pone en circulación una filtración de más de una década, aunque no significa que el incidente haya ocurrido ahora. Según la información difundida, YouHack cambió de dominio después de la brecha de 2013 y continúa activo como espacio para que ciberdelincuentes intercambien credenciales robadas y datos financieros.

La cifra de 7,2 millones corresponde a direcciones de correo únicas registradas en el conjunto, no a 7,2 millones de cuentas de miembros del foro. Alrededor de 107.000 direcciones pertenecían a usuarios de YouHack, cuyos registros también incluían nombres de usuario, direcciones IP y hashes de contraseñas; los datos restantes incluían credenciales que los participantes habían publicado sobre otras víctimas.

Esa diferencia importa para entender el alcance del material: la filtración reunió información de los propios usuarios del foro y datos ajenos que estos habían compartido. El reporte no atribuye cada dirección a una persona identificada ni establece que todas las credenciales incluidas sigan vigentes, por lo que el volumen del conjunto no debe confundirse con un recuento confirmado de cuentas activas comprometidas.

La aparición de información de 2013 dentro de una compilación mucho mayor muestra cómo los datos expuestos pueden seguir reapareciendo y mezclarse con registros de incidentes distintos. Mother of All Breaches, descrita como un megavertido de 12 TB y 26.000 millones de registros, agrupó datos procedentes de numerosas filtraciones; el texto no precisa qué proporción de esa colección corresponde a YouHack.

El problema de proteger contraseñas con MD5 sin sal

Entre los datos de los miembros figuraban hashes MD5, mayormente sin sal. Un hash transforma una contraseña en una cadena de caracteres que puede servir para comprobarla sin guardar directamente el texto original, pero no es un cifrado reversible ni una garantía de que la contraseña permanezca secreta una vez filtrada la cadena.

La ausencia de una sal, un valor adicional único que se incorpora antes de calcular el hash, hace que dos contraseñas idénticas produzcan el mismo resultado. También facilita que un atacante compare hashes repetidos y aproveche cálculos preparados de antemano; el reporte subraya además que MD5 se calcula con rapidez, lo que permite probar muchas conjeturas en poco tiempo.

Por eso, encontrar un hash en el conjunto no equivale necesariamente a tener ya la contraseña en texto claro, pero sí puede abrir la puerta a intentar recuperarla mediante conjeturas. El riesgo depende, entre otros factores, de la fortaleza de la contraseña y de si el usuario la reutilizó en otros servicios, aunque la fuente no ofrece cifras sobre cuántos hashes fueron descifrados ni sobre el uso posterior de las credenciales.

El uso de MD5 sin sal resulta especialmente llamativo en un foro dedicado al cibercrimen, pero no permite concluir que cada miembro conociera la exposición o repitiera contraseñas. La información disponible tampoco identifica a las personas afectadas ni detalla si recibieron avisos; sí permite afirmar que los registros incluían credenciales protegidas con un método que el artículo describe como una mala elección para resguardar contraseñas.

Otra filtración rusa involucra a SberSpasibo

En una publicación separada, HIBP dio a conocer sus conclusiones sobre una filtración de 2023 vinculada a SberSpasibo, el programa de fidelización del banco ruso Sberbank. El conjunto contenía registros correspondientes a 48 millones de usuarios y reunía 3,3 millones de direcciones de correo únicas, además de números telefónicos y fechas de nacimiento.

Los números de tarjetas bancarias incluidos en esos registros estaban almacenados como hashes SHA-1 sin sal. De acuerdo con la explicación difundida, esa configuración podría permitir que un atacante pruebe números posibles contra los hashes filtrados y busque coincidencias; la información no afirma que los números se hayan recuperado ni que se hayan utilizado para realizar operaciones.

Las noticias sobre la filtración de SberSpasibo en el momento del incidente indicaron que los registros podían abarcar el período entre abril de 2017 y febrero de 2022. Esa referencia temporal se presentó como una sugerencia de los reportes publicados entonces, no como una confirmación independiente de las fechas de cada registro del conjunto.

El colectivo hacktivista prorruso NLB, descrito como pro-Ucrania, reivindicó el ataque contra SberSpasibo. El mismo grupo también se atribuyó en ese momento un ataque contra sistemas internos de Sberbank y, posteriormente, reclamó parcialmente la responsabilidad de un ataque contra Alfa-Bank, el mayor banco privado de Rusia.

Qué muestran los datos y qué no permiten afirmar

Los dos casos reúnen tipos distintos de información y no deben confundirse: YouHack expuso datos de miembros de un foro y credenciales que estos habían publicado sobre terceros, mientras que SberSpasibo concentró registros de usuarios de un programa de fidelización. En ambos aparecen datos que pueden facilitar intentos de acceso o de identificación, pero la fuente no detalla un daño financiero confirmado derivado de estas filtraciones.

La cifra de usuarios asociada a SberSpasibo tampoco equivale al número de correos únicos: el conjunto contenía registros de 48 millones de usuarios, pero solo 3,3 millones de direcciones únicas. Del mismo modo, en YouHack los 7,2 millones de correos únicos no representan únicamente miembros del foro, ya que alrededor de 107.000 pertenecían a sus usuarios y el resto incluía datos de otras víctimas.

En términos prácticos, la persistencia de una filtración antigua puede complicar la evaluación del riesgo, sobre todo cuando los registros vuelven a agruparse con material de otras brechas. Sin información sobre contraseñas recuperadas, actividad posterior o notificaciones a las personas afectadas, no es posible determinar cuántas cuentas siguen expuestas; la noticia sí documenta la circulación de esos datos y las debilidades de los métodos de hash mencionados.

La reaparición de estos conjuntos recuerda que guardar contraseñas como hashes no basta si la función empleada permite probar conjeturas con rapidez y no añade una sal. En YouHack, HIBP registró MD5 mayormente sin sal; en SberSpasibo, SHA-1 sin sal para números de tarjetas, dos métodos que, según lo informado, podrían facilitar comparaciones y ataques de prueba, sin que eso confirme por sí solo que los datos hayan sido descifrados.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados