Contraseñas idénticas

Un estudio publicado en Microsoft 2007 que analizó el uso de contraseñas durante un período de tres meses encontró que los usuarios utilizaban la misma contraseña en cuatro sitios web diferentes en promedio.

Joseph Bonneau, un investigador de la Universidad de Cambridge, analizó una lista de contraseñas robadas de los sitios web rootkit.com y gawker.com en 2011. Resultó que de las 456 direcciones de correo electrónico utilizadas en ambos sitios web, al menos el 31% también utilizaba la misma contraseña. De los que tenían contraseñas diferentes, algunos seguían utilizando contraseñas muy similares (por ejemplo, "contrasena1" y "contrasena2").

Cómo los hackers obtienen su contraseña

Phishing

Por ejemplo, un usuario recibe un correo electrónico con un enlace. Deberían, por alguna razón, hacer clic en el enlace y registrarse. El enlace lleva a una página web falsa y el atacante guarda la información del usuario.

Malware

Por ejemplo, el malware en el ordenador del usuario almacena todas las pulsaciones de teclas al visitar los sitios web o toman fotos regulares de la pantalla. Una vez que los datos han sido recogidos, el malware los envía al hacker.

Ingeniería social

El atacante interactúa directamente con el usuario (por ejemplo, a través de una llamada telefónica) e intenta obtener datos confidenciales de él (por ejemplo, la contraseña de la WLAN).

Ataques de diccionario

El atacante pasa por una extensa lista de palabras que a menudo se usan como contraseña.

Ataques de fuerza bruta

El atacante intenta todas las combinaciones de caracteres posibles hasta que encuentra la contraseña correcta. Puede encontrar más información aquí.

Las contraseñas idénticas son un riesgo para la seguridad

Para entrar en un sitio web se requieren dos cosas: un nombre de usuario y una contraseña. El nombre de usuario suele ser una dirección de correo electrónico. Aún cuando pueda poseer diferentes cuentas de correo electrónico, se suele utilizar la misma dirección de correo electrónico como nombre de usuario (por ejemplo, en Facebook, Twitter, Amazon, eBay, etc.).

Si un atacante tiene un nombre de usuario y una contraseña, puede probarlo en otros sitios web. Así pues, una contraseña que se utiliza en varios sitios web aumenta considerablemente las perspectivas de éxito de un ataque y, por lo tanto, representa un enorme riesgo para la seguridad.

Lo ideal sería que se enterara por la prensa o, por ejemplo, por la Oficina Federal de Seguridad de la Tecnología de la Información, de cuando se haya registrado un robo de contraseñas a gran escala. Sin embargo, no todas las víctimas de hacking tienen la suerte de saber que su contraseña ha sido descifrada. En estos casos, los hackers tienen tiempo suficiente para localizar las otras cuentas de las víctimas y acceder a ellas con la contraseña ya conocida.