bitácora de calú

Nueva filtración de contraseñas de correos, ¿qué hacer?

Esta mañana nos despertamos con la no-tan-buena-noticias de que se han obtenido las contraseñas de cerca de 773 millones de correos electrónicos (ouch!). Para el usuario común, aparte de la dificultad que podría suponer procesar esta información para considerar riesgos reales, también le podría generar incertidumbre pues no sabría qué hacer frente a este enjambre tecnológico reservado sólo para los expertos. Pues bien, en pocas líneas trataré de explicar cuáles deberían ser los próximos pasos a seguir.

1. ¿Alguien podría tener la contraseña de mi correo electrónico? Primero debemos entender que el sitio web Have I been pwned? aloja un listado cercano a los 6.47 millones de cuentas de correos que en algún momento se han obtenido sus contraseñas. Ingresando nuestro(s) correo(s) en el formulario de consulta de ese sitio web nos permitirá averiguar si el correo ha sido comprometido según ese listado. Pueden haber otros listados o inclusive otras personas que no se han dado el trabajo de publicar listados de correos comprometidos. Sólo hay dos respuestas probables a la consulta: no comprometido, o comprometido (pwned). Independiente de la respuesta, recomiendo ir al siguiente paso como buena práctica de seguridad digital. No cantes victoria si tu correo no se encuentra en el listado, tampoco te martirices si tu correo ha sido comprometido.

2. Empieza por habituarte a usar un gestor de contraseñas. Cuando empezamos a usar internet nuestro universo de servicios que necesitaban una contraseña (correo, suscripciones a periódicos, cuentas bancarias, redes sociales, etc.) era relativamente pequeño. Con el tiempo creció e íbamos usando la misma contraseña para cada servicio. Hoy el volumen de servicios es grande, nuestra memoria es frágil, y usar la misma contraseña para todos los servicios es una mala práctica. La solución es simple y barata, aunque depende de un buen hábito: usar un gestor de contraseñas que hace el trabajo por nosotros especialmente para recordar decenas de claves de acceso. Personalmente recomiendo KeePass (para Windows, macOS, GNU/Linux, Android o iOS) aunque no es el único ni el más amigable. Gracias al gestor de contraseñas solamente debemos memorizar UNA contraseña maestra que permite acceder a nuestra base de datos de contraseñas. En mi caso, si me preguntan la contraseña de mi correo, mi respuesta es: no lo se, pues la guardo en KeePass y la recupero desde allí cada vez que la necesito, y lo mismo me sucede con todos los servicios que manejo. Anímate a usar un gestor de contraseñas, es más fácil de lo que parece y lograrás incrementar el nivel de seguridad.

3. Cambia la contraseña. Obvio, siempre, más aún si tu correo está comprometido según lo que revisaste en el primer paso. Y luego, cambia tus contraseñas frecuentemente, una funcionalidad que el gestor de contraseñas te ayudará a recordar cuando la clave este siendo usada por largo tiempo. Aprovecha este minuto, esta noticia, y cambia la clave usando el gestor de contraseñas.

4. Utiliza un segundo factor de autenticación. Muchos servicios como Google, Dropbox, Facebook, etc, además de la contraseña requerida para acceder a sus servicios, también te permiten que implementes un segundo paso al momento de verificar que tu eres la persona que dices ser. Esta funcionalidad se la conoce como autenticación de múltiples factores, y puede ser rápidamente implementada con una aplicación en tu teléfono móvil como por ejemplo Google Authenticator.

Puede que algunos pasos resulten algo más complejos o difíciles, pero no hay que desesperarse. Realmente espero que las noticias desagradables como la de esta mañana nos ayuden a mejorar nuestros hábitos y buenas prácticas de seguridad digital.