El miércoles, un tribunal federal de Seattle cerró uno de los mayores robos de datos de los últimos tiempos. Connor Riley Moucka, de 26 años, de Kitchener, Ontario, se declaró culpable de fraude informático, fraude electrónico, robo agravado de identidad y conspiración por una serie de hackeos ocurrida en 2024 que alcanzó al menos a 165 organizaciones y expuso registros pertenecientes a por lo menos 100 millones de personas. Se embolsó personalmente al menos $495,000 por rescates y ventas de datos. Está previsto que reciba su sentencia el 27 de octubre y enfrenta un mínimo obligatorio de dos años solo por el cargo de robo de identidad, con una pena de hasta 30 años por los demás cargos.

Esas cifras son el titular. El detalle que vale la pena analizar es más pequeño y mucho menos cinematográfico: los fiscales dicen que lo que realmente le permitió entrar a Moucka fueron contraseñas antiguas. No un día cero. No una falla en la plataforma atacada, cuyo nombre el Departamento de Justicia todavía no ha revelado públicamente (Snowflake y la firma de respuesta a incidentes Mandiant se identificaron como involucradas en 2024, vinculando el caso con la ola de filtraciones contra cuentas de clientes de Snowflake de ese año). Las credenciales habían sido recolectadas años antes por malware infostealer, permanecieron sin usarse y sin cambiarse, y desbloquearon cuentas que, además, tenían desactivada la autenticación multifactor.

Por qué «sin cambiarse» es lo más importante de esa oración

El malware infostealer es una categoría de software malicioso que, una vez que llega a un dispositivo —a menudo mediante una aplicación pirateada, una actualización falsa del navegador o un archivo adjunto malicioso—, extrae discretamente las credenciales almacenadas en el autocompletado y los registros de contraseñas guardadas del navegador de esa máquina, y luego las envía a quien opera el malware. Esto no es nuevo ni exótico; desde hace años existe como un servicio delictivo comercial, con lotes de credenciales robadas que se compran y venden al por mayor.

Lo que hace que el caso de Snowflake sea un ejemplo útil para enseñar es la brecha entre el robo y el uso. Según se informa, esas contraseñas específicas fueron recolectadas «años antes». Eso significa que, durante mucho tiempo, las personas propietarias de esas cuentas tuvieron una credencial comprometida activa en alguna base de datos, y nada las obligó a cambiarla. No se marcó ningún intento de inicio de sesión como sospechoso, porque el atacante todavía no lo estaba intentando. No se activó ningún restablecimiento de contraseña, porque no había ningún ataque activo que alguien pudiera detectar. La credencial simplemente esperó, válida, hasta que alguien decidió usarla a gran escala contra las cuentas de clientes de Snowflake.

Ese es el modo de falla que crean las contraseñas reutilizadas y que nunca se cambian: no es necesariamente que sean débiles; el malware infostealer también capturará con gusto una contraseña segura y única, directamente del almacén de contraseñas guardadas de un navegador. El problema es que una contraseña robada no tiene fecha de caducidad, a menos que una persona o una política se la imponga. Una filtración de 2021 todavía puede estar abriendo puertas en 2024 si nadie cambió la credencial en el ínterin.

El segundo cerrojo que no estaba ahí

El otro detalle señalado por los fiscales —la autenticación multifactor desactivada en las cuentas afectadas— fue lo que convirtió una contraseña robada en acceso total a la cuenta. La autenticación multifactor está diseñada exactamente para este escenario: parte de la premisa de que las contraseñas eventualmente se filtrarán y añade una segunda prueba de identidad (un código, una notificación automática o una llave de hardware) que una contraseña robada por sí sola no puede satisfacer. Cuando está desactivada, una credencial filtrada es toda la barrera. Los reportes sobre la ola más amplia de filtraciones vinculadas con Snowflake en 2024 han señalado que muchas cuentas afectadas no tenían la autenticación multifactor activada de forma predeterminada, lo que significaba que la configuración dependía de que cada organización cliente la activara.

Lo que esto realmente significa para ti

La mayoría de los lectores de este boletín no administra un almacén de datos de Snowflake, pero estos mecanismos se aplican a cualquier cuenta que tengas en cualquier lugar:

  • Da por hecho que las contraseñas antiguas están comprometidas, no solo que son débiles. Si reutilizaste una contraseña en varios sitios y no la has cambiado desde entonces, considérala quemada; no porque alguien la haya adivinado, sino porque puede que ya esté en una lista de credenciales robadas que nunca verás.
  • Cambia las credenciales después de que cualquier servicio que uses revele una filtración, incluso si te dicen que tu cuenta específica «no fue afectada». Los avisos iniciales de filtraciones suelen estar incompletos mientras continúan las investigaciones.
  • Activa la autenticación multifactor en todos los lugares donde se ofrezca y no asumas que un servicio la activa de forma predeterminada. Revisa directamente la configuración de seguridad de la cuenta en lugar de confiar en que la opción más segura ya está activa.
  • Un administrador de contraseñas resuelve la causa raíz, no solo el síntoma: hace que usar contraseñas únicas y no reutilizadas sea la opción más fácil, en lugar de algo que tienes que acordarte de hacer.
  • Si un dispositivo pudo haberse infectado con malware infostealer (se instaló un programa desconocido, descargaste algo pirateado o recibiste una alerta de inicio de sesión sospechoso), cambiar después todas las contraseñas guardadas —no solo la que crees que era importante— es la única forma de saber que una infección antigua no sigue generando beneficios para quien recopiló los datos.

La discrepancia es la lección

Hay algo casi incómodo en que un caso tan trascendental —una pena máxima de 30 años, un mínimo obligatorio y los registros de 100 millones de personas— dependa de un mecanismo tan mundano. No hubo una cadena de exploits ni una técnica novedosa: solo una contraseña que nadie se tomó el tiempo de cambiar y una configuración de seguridad que nadie activó. Esa discrepancia es exactamente la razón por la que vale la pena recordar el caso después de que se desvanezcan los titulares sobre la sentencia: las mayores filtraciones normalmente no necesitan un atacante brillante. Necesitan una credencial que nunca se cambió, en una cuenta donde nunca se activó la autenticación multifactor.