PwnedWord: El atajo de Siri que te dice si tu contraseña se ha filtrado

No debería extrañarnos que se diga que en la red se filtran contraseñas constantemente, y que existen multitud de sitios que permiten consultar si una determinada cuenta o contraseña se ha visto comprometida, algo que todo deberíamos comprobar periódicamente. Ahora podremos hacer está comprobación a través de un atajo en Siri, que se llama PwnedWord, y va a permitir a los usuarios verificar si sus contraseñas se han filtrado con la técnica ‘k-anonymity’.

¿Cómo se realiza la consulta? Envía los 5 primeros caracteres del hash a pwnedpasswords.com, el servicio devolverá todas las contraseñas que coincidan con esos primeros 5 caracteres del hash enviado, para terminar en el propio iPhone se comprobará el hash completo de la contraseña con el hash de todas las devueltas por el servicio.

Figura 1 - Usando PwnedWord (Fuente)

Como resultado, el atajo te mostrará un mensaje felicitándote por tener una contraseña robusta y ‘nunca’ filtrada, o por el contrario, te indicará el número de veces que se ha visto comprometida. Si tu contraseña se ha filtrado, no olvides cambiarla de inmediato, además, si no lo haces ya, ves pensando en agregar un doble factor de autenticación.

Antes de descargar el atajo de icloud y poder hacer uso de él, tienes que activar la opción que permita atajos no confiables, esto se encuentra en el apartado de configuración, dentro de la opción de atajos.

Mark Zuckerberg hackeado en Twitter, Pinterest y LinkedIn

Es una de las noticias de la semana, sin duda, el fundador de Facebook, Mark Zuckerberg, ha sido el objetivo y blanco de unos atacantes que han conseguido robar sus credenciales y controlar varias de sus cuentas de redes sociales, algunas de las cuales fueron desconfiguradas y "burladas". La cuenta de Facebook no se encontraba entre los perfiles expuestos, aunque su Pinterest, Twitter y LinkedIn sí. Los atacantes hicieron captura de pantalla de los mensajes, antes de que éstos fueran borrados. Se atribuye el ataque a un grupo de atacantes llamado OurMine. 

La cuenta de Twitter de los supuestos atacantes ha sido suspendida. El mes pasado, un volcado masivo de datos de correo electrónico y contraseñas de LinkedIn fue expuesto en Internet. En aquel entonces había almacenados contraseñas sin salt en un hash con SHA-1. Esto permite a cientos de miles de personas intentar romper dichos hashes. No queda claro si Zuckerberg fue hackeado por este medio, pero es viable. Además, la complejidad de la contraseña utilizada por Zuckerberg es mínima. 

Figura 1: Cuenta de Zuckerberg hackeada

La contraseña utilizada por el fundador de Facebook era "Dadada". Algunos de los atacantes, parecen referenciar al incidente de LinkedIn como fuente del ataque, por lo que puede surgir todo de dicho ataque. La reutilización de las contraseñas es un error típico en las personas, por lo que consiguiendo la contraseña de LinkedIn, pudieron obtener acceso a las otras redes sociales. Parece que el CEO de la mayor red social del mundo podría haber caído en este fallo humano de concienciación en seguridad. Un portavoz de Facebook declinó hacer comentarios sobre estos hechos.