¿Quién dijo que los cibercriminales no se preocupaban por el reciclaje? Algunos actores de amenazas reciclan y mucho, aunque no por el beneficio del planeta, sino por el suyo propio.
Más de un millón de cuentas online pertenecientes a 17 conocidas compañías habrían sido víctimas de intentos de piratería que supusieron la reutilización de contraseñas robadas que circulaban por Internet. Así lo ha advertido el máximo responsable de la policía de Nueva York, según publica Bloomberg.
Esta técnica, el "ataque de relleno de credenciales" (o credential stuffing attack) en inglés supone que un ciberdelincuente intenta acceder repetidamente a la cuenta de alguien mediante la utilización de nombres de usuario y claves que ya se habían revelado públicamente en el pasado.
En un ataque de relleno de credenciales el amigo de lo ajeno puede realizar simultaneamente envíos de cientos de miles y hasta millones de intentos de inicio de sesión sirviéndose para ello de software especializado.
Los nicks y los passwords en ocasiones son publicados o vendidos en la Dark Web o en foros dedicados a hackers tras haber sido sustraídos después de agujeros de seguridad o ataques.
La fiscal general de Nueva York Letitia James ha insistido en que los cibermalos se aprovechan de que los usuarios suelen reusar las mismas contraseñas en varias páginas web y servicios digitales.
Más de 15.000 credenciales circulando por ahí
James ha revelado que actualmente hay en circulación más de 15.000 millones de credenciales robadas, lo que pone la información personal de esos usuarios "en peligro". También ha contado cómo su oficina trabajó con las 17 empresas (las cuales no han sido nombradas), para ayudar a reforzar su ciberseguridad, proteger a sus clientes y comprender mejor cómo ocurrieron los ataques.
La oficina de la fiscal general pasó meses monitoreando comunidades online dedicadas al relleno de credenciales y encontró miles de publicaciones que contenían nombtes y claves de inicio de sesión de clientes que los piratas informáticos habían probado para detectar ataques. A partir de esas publicaciones, los funcionarios estatales recopilaron credenciales para cuentas comprometidas en 17 reconocidos retailes online, cadenas de restaurantes y servicios de reparto de comida.