Un ataque roba más de mil millones de cuentas a Yahoo ¡Uno de los mayores de la historia!

Hubo una época en la que Yahoo era una de las principales puertas de entrada a internet. Antes de que Google dominara las búsquedas y de que las redes sociales concentraran buena parte de nuestra actividad online, millones de personas utilizaban Yahoo para consultar el correo, leer noticias o descubrir nuevas páginas.

Por eso, cuando la empresa reconoció que había sufrido una filtración masiva de datos, el impacto fue enorme.

La primera cifra que se hizo pública ya resultaba difícil de asimilar: más de 1.000 millones de cuentas afectadas. Sin embargo, la dimensión real del ataque era todavía mayor. En octubre de 2017, Yahoo confirmó que el incidente ocurrido en 2013 había comprometido la totalidad de las cuentas que tenía en aquel momento: aproximadamente 3.000 millones.

Más allá de la cifra, el caso sirve para entender algo que sigue siendo válido hoy: una brecha de seguridad rara vez se queda en un problema puramente técnico. También puede convertirse en una crisis de confianza, comunicación, reputación y negocio.

¿Qué ocurrió realmente en Yahoo?

Cuando se habla del robo de datos de Yahoo, es fácil mezclar fechas y cifras porque la empresa sufrió varios incidentes importantes en un periodo relativamente corto.

El primero de ellos tuvo lugar en agosto de 2013. Yahoo no lo comunicó públicamente hasta diciembre de 2016, momento en el que estimó que podían haberse visto afectadas más de 1.000 millones de cuentas.

Después de la adquisición de la compañía por parte de Verizon y de una nueva investigación interna, aquella cifra se revisó. La conclusión fue mucho más grave: todas las cuentas existentes en 2013 habían resultado afectadas, alrededor de 3.000 millones.

Hubo, además, un segundo ataque en 2014 que comprometió al menos 500 millones de cuentas. En 2017, el Departamento de Justicia de Estados Unidos presentó cargos contra cuatro personas relacionadas con ese incidente, entre ellas dos miembros del Servicio Federal de Seguridad ruso y dos hackers.

Aunque ambos ataques suelen aparecer juntos cuando se recuerda la historia de Yahoo, no fueron el mismo incidente. Ocurrieron en momentos diferentes y tuvieron características distintas.

¿Qué información quedó expuesta?

Entre la información comprometida podían encontrarse nombres, direcciones de correo electrónico, números de teléfono, fechas de nacimiento, contraseñas cifradas y, en algunos casos, preguntas y respuestas de seguridad.

Yahoo aseguró que en el ataque de 2013 no se habían sustraído contraseñas almacenadas en texto plano, datos de tarjetas de crédito ni números de cuentas bancarias.

A primera vista, esto podía parecer tranquilizador. Sin embargo, la ausencia de datos bancarios no convierte una filtración de este tamaño en algo menor.

Una dirección de correo, una fecha de nacimiento y un número de teléfono pueden ser suficientes para preparar mensajes de phishing mucho más convincentes. Si el atacante conoce información real sobre la persona, le resulta más sencillo hacerse pasar por una empresa, un proveedor o incluso por alguien cercano.

Las contraseñas cifradas tampoco son necesariamente inutilizables. Todo depende del sistema con el que fueron protegidas, de su antigüedad y de la fortaleza de la contraseña original.

El riesgo aumenta todavía más cuando el usuario emplea la misma clave en distintos servicios. En ese caso, una filtración en una plataforma puede terminar abriendo la puerta a cuentas de correo, redes sociales, tiendas online o herramientas profesionales que no estaban directamente relacionadas con el ataque inicial.

El problema de las preguntas de seguridad

Tras conocerse el incidente, Yahoo invalidó las preguntas y respuestas de seguridad que no estaban cifradas.

Durante muchos años, este sistema se utilizó como una forma aparentemente sencilla de recuperar una cuenta. El problema es que muchas de esas preguntas se basaban en información personal que podía descubrirse sin demasiada dificultad.

El nombre de una mascota, la ciudad de nacimiento, el colegio en el que estudió una persona o el apellido de un familiar pueden aparecer en redes sociales, entrevistas, perfiles públicos o conversaciones antiguas.

En otras palabras, muchas preguntas de seguridad no se apoyaban en secretos reales, sino en información personal relativamente fácil de investigar.

Actualmente, resulta más razonable utilizar contraseñas únicas, gestores de contraseñas y autenticación multifactor. Cuando sea posible, también conviene recurrir a llaves de seguridad, aplicaciones de autenticación o sistemas resistentes al phishing.

Ninguna medida elimina por completo el riesgo, pero añadir una segunda forma de verificación puede impedir que una contraseña robada sea suficiente para acceder a una cuenta.

El mayor problema no fue solamente técnico

Un incidente de seguridad puede comenzar con una vulnerabilidad, una contraseña comprometida o un error interno. Sin embargo, el alcance final del problema depende mucho de cómo responda la organización.

Y aquí es donde el caso Yahoo resulta especialmente interesante.

La Comisión de Bolsa y Valores de Estados Unidos señaló que el equipo de seguridad de Yahoo tuvo conocimiento del ataque de 2014 poco después de que se produjera. Pese a ello, la empresa no informó adecuadamente a sus inversores durante más de dos años.

En 2018, Altaba —la empresa que sucedió a Yahoo tras la venta de su negocio principal— aceptó pagar una sanción de 35 millones de dólares para resolver las acusaciones relacionadas con esa falta de comunicación.

Lo importante no es quedarse solo con la multa. El caso demuestra que una brecha de seguridad no debería gestionarse como un asunto aislado del departamento técnico.

Dependiendo de su gravedad, puede afectar a la dirección, al equipo jurídico, a la atención al cliente, a la protección de datos, a los proveedores y a la continuidad del negocio. También puede obligar a tomar decisiones delicadas sobre cuándo y cómo informar a los usuarios.

La coordinación es fundamental. Comunicar demasiado tarde puede empeorar la crisis, pero comunicar sin haber investigado mínimamente lo ocurrido también puede generar confusión.

¿Cómo afectó la filtración a la venta de Yahoo?

Cuando se conocieron los ataques, Yahoo estaba negociando la venta de su negocio operativo a Verizon.

El acuerdo inicial valoraba la operación en aproximadamente 4.830 millones de dólares. Tras las revelaciones sobre las filtraciones, el precio se redujo en 350 millones, hasta quedar cerca de los 4.480 millones.

Sería demasiado simplista afirmar que toda la pérdida de valor de Yahoo se debió a los ataques. La empresa llevaba tiempo atravesando problemas estratégicos, económicos y competitivos.

Aun así, las brechas añadieron nuevas dudas: responsabilidades legales, posibles indemnizaciones, pérdida de usuarios y un mayor riesgo para el comprador.

La seguridad tecnológica también forma parte del valor de una empresa. Una infraestructura mal protegida, unos controles insuficientes o una gestión deficiente de los incidentes pueden influir en una inversión, una auditoría o una operación de compra.

No siempre es fácil medir ese valor mientras todo funciona. Normalmente, se vuelve evidente cuando algo falla.

¿Qué pueden aprender las empresas del caso Yahoo?

Una pequeña empresa o un profesional autónomo no gestiona miles de millones de cuentas. Pero eso no significa que pueda desentenderse de la seguridad.

Las proporciones son distintas, aunque muchos de los problemas de fondo sean los mismos: accesos que nadie revisa, cuentas antiguas, contraseñas compartidas, herramientas abandonadas o copias de seguridad que nunca se han probado.

Saber quién tiene acceso a cada herramienta.

Uno de los puntos más básicos consiste en mantener cierto control sobre los accesos.

Conviene saber quién puede entrar en el correo, el hosting, el dominio, WordPress, Google Analytics, las cuentas publicitarias o los repositorios de código.

Es frecuente encontrar usuarios de antiguos empleados, colaboradores o proveedores que siguen activos meses o incluso años después de terminar la relación profesional.

También deberían evitarse, en la medida de lo posible, las cuentas compartidas. Cuando varias personas utilizan el mismo usuario, resulta difícil saber quién ha realizado un cambio o desde qué dispositivo se ha producido un acceso.

No dar permisos de administrador a todo el mundo

No todos los usuarios necesitan tener acceso completo.

Una persona encargada de publicar contenidos no debería poder instalar plugins, modificar archivos del tema o crear nuevas cuentas administrativas si esas tareas no forman parte de su trabajo.

Limitar los permisos no es desconfiar del equipo. Es reducir el daño potencial de un error, un acceso accidental o una credencial comprometida.

Activar la autenticación multifactor

La autenticación multifactor debería estar presente en las cuentas más importantes de cualquier proyecto digital.

El correo electrónico merece una atención especial. En muchos servicios, el correo se utiliza para recuperar contraseñas o confirmar cambios, por lo que perder su control puede facilitar el acceso al resto de herramientas.

También conviene proteger el hosting, el dominio, WordPress, los repositorios, las plataformas publicitarias, los sistemas de facturación y los gestores de contraseñas.

No hace falta complicarlo todo desde el primer día. Se puede empezar por las cuentas que permitirían controlar o recuperar las demás.

Conservar registros útiles

Los registros de actividad ayudan a saber qué ha ocurrido: cuándo se produjo un acceso, qué usuario realizó un cambio o desde qué ubicación se inició una sesión.

Cuando no existen registros, investigar un incidente se vuelve mucho más difícil. El equipo sabe que algo ha pasado, pero no puede reconstruir bien el origen ni el alcance.

Esto no significa que haya que registrar de forma indiscriminada toda la actividad de los usuarios. Se trata de conservar la información necesaria para detectar comportamientos extraños y poder investigar cuando sea necesario.

Pensar qué hacer antes de que ocurra

Esperar a sufrir un ataque para decidir cómo responder suele provocar improvisación.

Incluso una empresa pequeña debería tener claro quién revisará el incidente, cómo se aislará un sistema afectado, dónde están las copias de seguridad y quién tendrá que comunicarse con clientes o proveedores.

También conviene establecer un orden de actuación. Borrar archivos, restaurar una copia o cambiar todas las contraseñas sin haber revisado previamente lo ocurrido puede destruir información necesaria para entender el ataque.

No hace falta redactar un manual de cien páginas. Un procedimiento sencillo, actualizado y conocido por las personas implicadas ya supone una mejora importante.

¿Qué implica todo esto para una web WordPress?

WordPress no es inseguro por definición. El problema suele aparecer por la forma en la que se administra.

Una instalación puede acumular plugins que ya no se utilizan, usuarios con permisos excesivos, temas abandonados o versiones antiguas de PHP. También es habitual confiar en una copia de seguridad sin haber comprobado nunca si realmente puede restaurarse.

Una gestión razonable debería incluir actualizaciones controladas, eliminación de extensiones innecesarias, copias externas, revisión de usuarios y autenticación multifactor para las cuentas administrativas.

También conviene proteger el correo asociado a WordPress, registrar los cambios importantes y disponer de un entorno de pruebas cuando se vayan a realizar modificaciones delicadas.

Instalar varios plugins de seguridad no sustituye una buena administración. De hecho, añadir herramientas sin necesidad puede aumentar la complejidad y crear nuevos puntos de fallo.

Cuando reviso una web en WordPress, no me limito al diseño, la velocidad o el posicionamiento. También considero el mantenimiento, los permisos, las actualizaciones, las copias de seguridad y la estabilidad general del proyecto.

Son aspectos menos visibles que el diseño, pero pueden marcar la diferencia cuando aparece un problema.

Seguridad, reputación y SEO

La seguridad no es un truco para subir posiciones en Google. Instalar un plugin o activar una opción no concede una ventaja automática en los resultados de búsqueda.

Sin embargo, una web comprometida sí puede sufrir consecuencias SEO muy reales.

Un atacante puede crear páginas de spam, introducir enlaces, modificar contenidos, generar redirecciones o publicar miles de URLs basura. También puede provocar errores del servidor, caídas prolongadas o avisos de seguridad en el navegador y en los buscadores.

En algunos casos, el propietario descubre el ataque porque Search Console empieza a mostrar URLs que nunca había creado o porque los usuarios son enviados a páginas externas.

Por eso, la seguridad forma parte de una revisión técnica más amplia. Una auditoría SEO en WordPress debería prestar atención a cambios extraños de contenido, redirecciones inesperadas, patrones anómalos de indexación y páginas que no pertenecen a la estructura normal del sitio.

Una web estable y bien mantenida también transmite confianza. No es una cuestión de aparentar seguridad, sino de reducir riesgos y reaccionar mejor cuando algo no funciona como debería.

¿Qué debería hacer un usuario ante una filtración?

Cuando un servicio comunica una filtración, cambiar únicamente la contraseña de esa plataforma puede quedarse corto.

Lo primero es comprobar si esa misma contraseña se utilizaba en otros sitios. Si es así, también habrá que modificarla allí.

Después conviene activar la autenticación multifactor, revisar las sesiones abiertas y comprobar que los métodos de recuperación de la cuenta siguen siendo correctos.

En el caso del correo electrónico, también merece la pena revisar si se han creado reglas de reenvío extrañas. Un atacante puede utilizarlas para recibir copias de determinados mensajes incluso después de que el usuario haya cambiado la contraseña.

Por último, hay que extremar la precaución con los mensajes recibidos después de una filtración. Los atacantes suelen aprovechar la preocupación del usuario para enviar avisos falsos, solicitar datos o dirigirlo hacia páginas que imitan al servicio original.

La urgencia es una de las herramientas más habituales del phishing. Si un mensaje exige actuar inmediatamente, lo más prudente es acceder al servicio desde su dirección habitual, no desde el enlace incluido en el propio correo.

Fuentes consultadas

• Yahoo: actualización sobre el robo de datos de 2013
• SEC: sanción por la falta de comunicación de la brecha
• Departamento de Justicia de Estados Unidos: cargos por el ataque de 2014
• Informe anual de Verizon de 2017
• NIST SP 800-63-4: directrices de identidad digital