Un nuevo escándalo de seguridad ha sacudido el panorama digital: más de 184 millones de credenciales de acceso fueron descubiertas en un servidor web sin ningún tipo de protección, según reveló el investigador de ciberseguridad Jeremiah Fowler. La base de datos, expuesta públicamente y sin cifrado, contenía nombres de usuario, correos electrónicos, contraseñas en texto plano y las URLs de acceso a servicios como Apple, Google, Instagram, Amazon, PayPal, WordPress, bancos e incluso portales gubernamentales y sanitarios.
Según el análisis de Fowler, el archivo contenía exactamente 184.162.718 registros únicos y tenía un peso superior a 47 GB. El experto calificó el hallazgo como una “mina de oro para la ciberdelincuencia” debido al valor y sensibilidad de la información recopilada.
Sin protección y sin responsable identificado
Uno de los aspectos más alarmantes es que el servidor carecía de cualquier medida de seguridad: ni cifrado, ni autenticación, ni siquiera una contraseña para limitar el acceso. Fowler no pudo identificar al responsable del servidor, pero sí notificó al proveedor de servicios correspondiente, quien procedió a restringir el acceso a la base de datos.
Tampoco se sabe durante cuánto tiempo esta información estuvo expuesta ni si otros actores, incluidos grupos maliciosos, tuvieron acceso a ella antes de ser detectada por el experto. No obstante, Fowler pudo verificar la autenticidad de parte de los datos: contactó con algunas direcciones de correo incluidas en el archivo y varias personas confirmaron que sus credenciales eran reales y vigentes.
Señales de malware infostealer
El investigador sospecha que los datos fueron recolectados mediante el uso de infostealers, un tipo de malware diseñado para extraer información almacenada en navegadores, clientes de correo electrónico y plataformas de mensajería. Este tipo de software suele distribuirse a través de programas pirata o campañas de phishing, infectando el dispositivo de la víctima y extrayendo datos como contraseñas, cookies o tokens de sesión.
Aunque la magnitud de este incidente es alarmante, no se trata del mayor filtrado de contraseñas registrado hasta la fecha. Ese título lo ostenta un leak de mediados de 2024 que recopilaba cerca de 10.000 millones de claves en un único archivo de texto.
Reforzar la seguridad: más necesario que nunca
Este nuevo incidente pone en evidencia los graves riesgos de seguridad que aún persisten en la red y refuerza la necesidad de adoptar buenas prácticas de protección digital. Aunque las contraseñas robustas siguen siendo recomendables, muchos expertos coinciden en que ya no son suficientes.
Cada vez más plataformas están migrando hacia métodos más seguros como las passkeys, claves digitales que no requieren ser memorizadas por el usuario y que son resistentes a técnicas como el phishing o la reutilización.
Como consejo, los especialistas insisten en:
- No reutilizar contraseñas entre diferentes servicios.
- Activar la autenticación en dos pasos (2FA) siempre que sea posible.
- Utilizar gestores de contraseñas seguros.
- Revisar habitualmente si nuestras credenciales han sido comprometidas mediante plataformas como Have I Been Pwned.
Este incidente es un nuevo recordatorio de que la seguridad digital es una responsabilidad compartida entre usuarios, empresas y gobiernos. La exposición de millones de contraseñas sin protección no solo compromete cuentas personales, sino también infraestructuras críticas de salud, finanzas y administración pública.
vía: Website planet e Hipertextual
