Basta con escribir una dirección de correo en Have I Been Pwned, un servicio gratuito creado por el experto australiano en seguridad Troy Hunt, para saber si esa cuenta aparece en alguna filtración de datos. Si aparece, hay que cambiar las contraseñas afectadas y activar un segundo paso de verificación.
Una filtración ocurre cuando una empresa deja expuesta información de sus clientes por fallas de seguridad en sus sistemas. Los datos pueden terminar publicados o a la venta, y los delincuentes los usan para entrar en otras cuentas de la misma persona.
El servicio nació en 2013, después de la filtración de Adobe, según explica su propio creador en el sitio. Hoy su página principal informa que reúne datos de 1.049 sitios vulnerados y de más de 17.800 millones de direcciones expuestas.
Para usarlo, hay que entrar en haveibeenpwned.com, escribir el correo en el buscador y pulsar el botón de comprobar. El resultado indica si la dirección figura en alguna filtración y, si es así, en cuáles. También permite suscribirse para recibir un aviso cuando el correo aparezca en una filtración futura.
El sitio no guarda las contraseñas junto con los correos y tampoco las envía a nadie, según sus preguntas frecuentes. Algunas filtraciones se consideran sensibles y no aparecen en la búsqueda pública. Solo se ven al iniciar sesión en el panel del servicio, tras confirmar que se puede recibir un mensaje en esa dirección.
Un resultado limpio no garantiza que los datos estén a salvo. Solo indica que la dirección no figura en las filtraciones que el servicio tiene cargadas.
Si el correo apareció en una filtración, el paso siguiente es cambiar la contraseña de ese sitio y la de cualquier otro servicio donde se haya usado la misma clave. Repetir contraseñas es un riesgo que Have I Been Pwned destaca en su página de contraseñas expuestas: los atacantes prueban en otros sitios las combinaciones robadas.
Ese sitio ofrece además un verificador de claves. Para consultarlo sin revelar la contraseña completa, el servicio solo recibe los primeros cinco caracteres de una versión cifrada, según explica. Aun así, conviene no escribir allí claves que se usan hoy en cuentas importantes.
Los usuarios de Google tienen otra herramienta. Desde un navegador, se entra en passwords.google.com y se elige "Go to Password Checkup", la revisión de contraseñas. En Chrome para computadora, se abre el menú de tres puntos, luego el administrador de contraseñas de Google y se selecciona "Checkup", según la página de ayuda de la compañía.
El resultado separa tres tipos de problemas: contraseñas expuestas, débiles y repetidas. Google recomienda cambiar de inmediato las expuestas, es decir, las que se publicaron en internet junto con un nombre de usuario. Si llega un aviso de clave insegura, la empresa sugiere abrir la revisión directamente desde passwords.google.com, para comprobar que el aviso es auténtico.
La verificación en dos pasos añade una barrera si alguien consigue la contraseña. En una cuenta de Google se activa desde la sección Seguridad, bajo "Cómo acceder a Google", donde se elige la verificación en dos pasos.
Google recomienda usar las notificaciones en el teléfono, que piden tocar "Sí" o "No" al intentar iniciar sesión. Una llave de seguridad física ofrece más protección contra el phishing, el engaño para que la víctima entregue sus datos en una página falsa.
Los códigos por mensaje de texto o llamada son una opción válida, pero pueden ser vulnerables a ataques que usan el número de teléfono, según advierte la propia compañía. También indica que nunca se deben compartir con nadie los códigos de verificación ni los de respaldo.
