Yahoo Breach probablemente no comprometa las tarjetas de crédito

Es hora de cambiar la contraseña de nuevo.

El anuncio de Yahoo de que un "actor patrocinado por el estado" había robado datos, incluyendo potencialmente contraseñas ocultas, de 500 millones de cuentas a finales de 2014, representa una de las violaciones de seguridad más grandes que se hayan divulgado. La "buena" noticia, si podemos llamarlo así, es que las contraseñas fueron ocultas y que el hack no parece tener tarjetas de crédito o cuentas bancarias directamente involucradas, según el anuncio de Yahoo.

Las cuentas de tarjetas de crédito probablemente no se verán afectadas. Pero "probablemente" no es "ciertamente". Si tiende a reutilizar las contraseñas en múltiples sitios, ahora es el momento de parar y cambiar esas contraseñas. Y Yahoo sigue animando a la gente a revisar sus informes de crédito.

No otro objetivo

Cuando escuche “violación de datos”, podría pensar en lo que le sucedió a Target en 2013. Cerca de 70 millones de clientes se vieron afectados y, lo que es peor, se robaron 40 millones de números de tarjetas de crédito. Millones de clientes tuvieron que preocuparse por la actividad fraudulenta en sus tarjetas como resultado.

La brecha de Yahoo es aproximadamente siete veces más grande que la de Target, pero para los consumidores afectados, no es siete veces peor.

La diferencia tiene que ver con lo que fue robado. De acuerdo con un comunicado de prensa de la compañía, en el caso de Yahoo, la información robada incluía nombres, direcciones de correo electrónico, números de teléfono, fechas de nacimiento, contraseñas ocultas y, en algunos casos, preguntas y respuestas de seguridad sin cifrar y encriptar. Yahoo también señala que la investigación en curso sugiere que "la información robada no incluía contraseñas no protegidas, datos de tarjetas de pago o información de cuentas bancarias".

Las contraseñas también fueron "hash", según Yahoo. Eso significa que se ejecutaron a través de una "función matemática que convierte una cadena de datos original en una cadena de caracteres aparentemente aleatoria", según Yahoo.

Las señales de un posible pirateo surgieron a principios de este verano en la "red oscura", un espacio de internet inalcanzable para los motores de búsqueda, donde los tratos ilegales pueden pasar desapercibidos. Un hacker intentó vender lo que supuestamente eran 200 millones de cuentas de Yahoo por 3 bitcoins, o aproximadamente $ 1,860, informó Motherboard en agosto. En el lado barato, si considera que las credenciales de inicio de sesión de los bancos de todo el mundo se aplican a "entre 200 y 500 dólares por cuenta" en mercados como estos, según un informe de Trend Micro.

Qué podría pasar

Las credenciales robadas en la violación de Yahoo no son tan valiosas siempre que las contraseñas estén ocultas. Pero todavía existe el riesgo de que los piratas informáticos puedan obtener más información de la violación de la que creemos.

Tome las contraseñas, por ejemplo. Cuando las contraseñas están encriptadas, son esencialmente inútiles. Pero es posible que los piratas informáticos puedan "deshacer" esas contraseñas, dice Al Pascual, vicepresidente senior y jefe de fraude y seguridad en Javelin Strategy & Research.

"Hay software como Hashcat y John the Ripper que está diseñado para descifrar contraseñas", dice Pascual. "Lleva tiempo y capacidad de procesamiento, e incluso entonces no todas las contraseñas se descifran".

Si los piratas informáticos tuvieran éxito en deshacer algunas de las contraseñas, podrían ejecutar scripts para llegar a tantos sitios web como sea posible para ver dónde funcionan esas contraseñas, dice Pascual. Eso podría afectar a los consumidores que usan la misma contraseña para cada cuenta.

Sin embargo, incluso si eso fuera exitoso, los hackers probablemente no podrían acceder a sus cuentas financieras. Los principales bancos y emisores tienen un software de seguridad que bloquea a los usuarios después de varios intentos fallidos de inicio de sesión. Sin embargo, Pascual dice que algunos emisores más pequeños no tienen esta capacidad.

Las estafas de suplantación de identidad (phishing) son otro posible resultado de la violación y uno que Yahoo está anticipando. La compañía destacó que el correo electrónico que envió a las personas afectadas por el incumplimiento "no le pide que haga clic en ningún enlace ni contenga archivos adjuntos y no solicita su información personal", solicitudes que son tácticas comunes en los correos electrónicos de phishing. La información de su tarjeta de crédito podría no verse afectada por la violación de Yahoo directamente, pero podría verse comprometida si le da sus credenciales de inicio de sesión a alguien que se hace pasar por Yahoo por correo electrónico.

" MÁS: Los ladrones quieren sus puntos de tarjeta de crédito

Qué hacer al respecto

Si recibió una notificación de Yahoo de que se vio afectado por la violación, aquí hay tres cosas que puede hacer para protegerse contra un posible fraude en sus tarjetas de crédito y otras cuentas:

1. Cambia tus contraseñas. "La gente tiende a no actualizar sus contraseñas a menos que sea absolutamente necesario", dice Pascual. Los hackers ven eso como una gran oportunidad. Entonces, si usa la misma contraseña para todas sus cuentas, no solo actualice su contraseña de Yahoo, también actualice sus otras contraseñas. Como mínimo, asegúrese de que las contraseñas que usa en su tarjeta de crédito y cuentas bancarias no sean las mismas que usa en los sitios web que parecen haber sido diseñados por alumnos de sexto grado en 1999.
2. Lea los correos electrónicos cuidadosamente. No responda a los correos electrónicos que dicen ser de Yahoo, o de ninguna otra empresa, si le piden que proporcione una contraseña, nombre de usuario o cualquier otra información personal, o le pida que haga clic en un enlace.Los estafadores utilizan correos electrónicos de sonido urgente como estos para obtener información valiosa de consumidores confiados.
3. Revise su informe de crédito y cuentas financieras. Aunque la violación de Yahoo no incluyó datos financieros, "lo alentamos a que permanezca atento revisando sus estados de cuenta y supervisando sus informes de crédito", según un comunicado de la compañía.

Puede obtener un informe de crédito gratuito una vez al año de cada una de las tres agencias de crédito principales: Experian, Equifax y TransUnion. Ir a AnnualCreditReport.com. Si detecta indicios de fraude en su cuenta de tarjeta de crédito, por ejemplo, compras desconocidas, llame a su emisor de inmediato e infórmelo. La ley limita considerablemente su responsabilidad financiera ante el fraude en cuentas bancarias y el fraude con tarjetas de crédito. Incluso si su tarjeta de crédito se ve afectada indirectamente por esta infracción, es probable que no tenga que pagarla.

Claire Tsosie es escritora del personal de Investmentmatome, un sitio web de finanzas personales. Correo electrónico: [email protected]. Twitter: @ ideclaire7.