Trakt advierte a los usuarios sobre una pérdida de contraseña que ocurrió en 2014

De vez en cuando, vastas bases de datos llenas de miles de millones de nombres de usuario y contraseñas llegan a Internet, y la mayoría de nosotros no podemos dejar de preguntarnos cómo pueden los piratas informáticos recopilar una cantidad tan enorme de datos, aparentemente sin que nadie se dé cuenta. Bueno, el miércoles, un proveedor de servicios llamado Trakt admitió que había sufrido una violación de datos, y los detalles a su alrededor podrían darnos una pequeña idea de cómo estos enormes volcados de datos surgen.

Trakt es una plataforma en línea que te permite realizar un seguimiento de las películas y programas de TV que sigues y quieres ver. Funciona en varias plataformas diferentes y, hace un par de años, Justin Nemeth, su fundador, le dijo a Forbes que utiliza la tecnología más moderna, el aprendizaje automático, para darle sugerencias sobre qué programas de TV y películas le gustaría. Para una suscripción mensual relativamente modesta, puede comprar un plan VIP que tiene características adicionales.

Es posible que Trakt no sea el nombre más reconocible que existe, pero si revisa el hashtag #trakt en Twitter , verá que a cada minuto, alguien está usando el servicio para decirle a todo el mundo lo que está viendo. En otras palabras, hay bastantes usuarios que quieran saber qué dijo Trakt el miércoles.

Trakt fue víctima de una violación de datos

La compañía decidió no emitir un anuncio oficial, pero este tipo de noticias nunca puede permanecer en secreto por mucho tiempo. Poco después de que Trakt comenzó a notificar a sus usuarios sobre el incidente, las personas comenzaron a compartir lo que habían recibido. Ya que Trakt no ha revelado más información, tenemos que trabajar con capturas de pantalla de los correos electrónicos.

En primer lugar, debemos decir que los usuarios VIP pueden permanecer tranquilos. Sus detalles financieros no se vieron afectados porque fueron procesados y almacenados por un procesador de pagos de terceros. Esto, podría argumentar, es tan bueno porque cuando los datos de la tarjeta de crédito están en juego, es importante informar a los titulares de la tarjeta tan pronto como sea posible. Y es justo decir que las personas que usaron sus tarjetas para una suscripción de Trakt no fueron informadas inmediatamente después de la violación.

Trakt fue violado en 2014

El incidente ocurrió hace poco más de cuatro años, en diciembre de 2014. Aparentemente, los malhechores irrumpieron a través de un exploit de PHP y se quedaron allí hasta enero de 2015 cuando Trakt migró su infraestructura a una nueva plataforma y, sin saberlo, tapó el agujero de seguridad. Mientras estaban allí, los piratas informáticos lograron robar nombres, direcciones de correo electrónico, nombres de usuario, datos de ubicación y "contraseñas cifradas". Trakt no dijo cuántas personas se vieron afectadas, pero notaron que se enteraron del incidente "solo recientemente" y que la investigación está en curso, lo que significa que podríamos ver más noticias en el futuro.

Esto es sólo una violación. Ahora piense en los cientos de incidentes similares que las personas aún no conocen . Así es como se forman las vastas bases de datos como la que se descubrió la semana pasada. Sin embargo, si son útiles o no, depende en gran medida de cómo los servicios violados almacenan las contraseñas de los usuarios.. Tristemente, la evidencia sugiere que en este aspecto en particular, Trakt no estaba haciendo un buen trabajo en el momento del incidente.

El almacenamiento de contraseñas hace la diferencia

Como ya mencionamos, Trakt dice que estaba almacenando las contraseñas de las personas en formato "encriptado". La experiencia nos enseña que esto podría significar que las contraseñas realmente estaban cifradas, pero también podría significar que se las había activado. De cualquier manera, la administración de Trakt parece entender que las contraseñas no se almacenaron correctamente.

Todos los usuarios afectados recibieron correos electrónicos con enlaces de restablecimiento de contraseña y se les instó a cambiarlos en los sitios web donde podrían haber sido reutilizados. Con esto, Trakt básicamente admite que las contraseñas no se almacenaron de forma segura. Y esto puede significar que los datos están ahora en uno de los grandes vertederos de los que hablamos recientemente.

Afortunadamente, la migración de 2015 que cerró el exploit también produjo "un algoritmo más seguro para almacenar contraseñas", lo que significa que las personas que se registraron después de enero de 2015 deberían estar a salvo. Al menos esa es la teoría.