¿Su cuenta de Vimeo estaba congelada? Este es el por qué

Es seguro decir que las personas deben ser responsables de su propia seguridad y deben asumir las consecuencias cuando no toman esta tarea lo suficientemente en serio. Sin embargo, los proveedores de servicios en línea que toman medidas proactivas para proteger a sus usuarios definitivamente merecen una palmada en la espalda. Dicho esto, la comunicación de sus acciones con los usuarios es probablemente tan importante como las acciones mismas, y desafortunadamente, aquí es donde a veces las cosas no salen tan bien como todos esperan. La plataforma de intercambio de videos Vimeo, por ejemplo, nos mostró cómo las iniciativas de seguridad que no están bien explicadas pueden causar mucha confusión.

Las cuentas "congeladas" dejan a los usuarios de Vimeo rascándose la cabeza

La semana pasada, algunos propietarios de cuentas de Vimeo se dieron cuenta de que no podían iniciar sesión en la plataforma de publicación de videos. David Smith, lector de la revista Infosec The Register, explicó que recibió una notificación que le decía que "un extraño" había accedido a su cuenta y que para protegerlo, Vimeo había decidido congelar el perfil. Este tipo de escenario no es tan poco común como podría pensar, y aunque estamos hablando de acceso no autorizado, no necesariamente significa que el servicio en línea (Vimeo, en este caso) se haya visto comprometido.

El relleno de credenciales se está volviendo cada vez más popular entre los ciberdelincuentes. En él, los delincuentes toman una base de datos de nombres de usuario y contraseñas robadas de un sitio web (por ejemplo, un panel de discusión en línea) y las prueban en otra plataforma (por ejemplo, Facebook). Debido a que muchas personas reutilizan las mismas credenciales de inicio de sesión en varios sitios web, muchos perfiles de Facebook podrían verse comprometidos a pesar del hecho de que la red social en sí no ha sido blanco de piratas informáticos.

Algunas estadísticas recientemente publicadas por Microsoft mostraron que la aplicación de contraseñas también es bastante común hoy en día. En un ataque de rociado de contraseña, los delincuentes toman una lista de nombres de usuario conocidos y los emparejan con algunas contraseñas fáciles de adivinar y de uso común. Una vez más, la tendencia de las personas a usar las mismas contraseñas débiles significa que los ciberdelincuentes pueden entrar en las cuentas de los usuarios con relativa facilidad.

Vimeo dijo que el malware había robado las credenciales de los usuarios

David Smith sabía que no había sido blanco de un ataque de relleno de credenciales, y también estaba bastante seguro de que no estaba involucrado el robo de contraseñas. Estaba seguro de que algo más era el problema porque, a diferencia de muchas personas, estaba usando una contraseña única y generada aleatoriamente para su cuenta de Vimeo.

Desconcertado, se acercó a The Register en un intento de comprender lo que había sucedido. Los periodistas no eran más sabios, pero sí contactaron a Vimeo, y la plataforma para compartir videos finalmente reveló lo que realmente estaba sucediendo. Un representante le dijo a The Register que el equipo de seguridad de Vimeo había encontrado "una lista de combinaciones de correo electrónico y contraseña comprometidas capturadas por malware". Se desconoce cómo los encontraron, pero los revisaron y se dieron cuenta de que al menos una parte de los datos era válida. Para proteger a los usuarios, bloquearon el acceso a las cuentas afectadas.

No está claro cuán fácilmente accesibles eran las credenciales robadas, pero es seguro decir que, independientemente de las circunstancias, congelar las cuentas era lo correcto. Sin embargo, lo que no está del todo claro es por qué Vimeo lo hizo sin informar a los usuarios y al resto del mundo al respecto. Incluso ahora, después de que la historia llegara al resumen semanal de noticias de The Register, Vimeo no ha revelado ningún detalle específico a través de los canales de información regulares, lo que significa que algunos usuarios aún podrían no estar al tanto de lo que está sucediendo. Es posible que tampoco sepan que deberían escanear sus dispositivos en busca de malware y cambiar sus contraseñas.

Se supone que acciones como esta imponen la confianza de las personas en el proveedor de servicios, pero cuando no se explican adecuadamente, pueden tener el efecto contrario. Con suerte, continuaremos viendo plataformas en línea que cuiden de sus usuarios, y también presenciaremos un manejo más transparente de los incidentes de seguridad.