El miércoles, un tribunal federal de Seattle puso fin a una de las mayores filtraciones de datos de los últimos tiempos. Connor Riley Moucka, de 26 años y residente en Kitchener, Ontario, se declaró culpable de fraude informático, fraude electrónico, robo agravado de identidad y conspiración por una ola de ataques informáticos perpetrados en 2024 que alcanzó al menos a 165 organizaciones y expuso registros pertenecientes a al menos 100 millones de personas. Se embolsó personalmente al menos $495,000 procedentes de rescates y ventas de datos. Está previsto que sea sentenciado el 27 de octubre y se enfrenta a una pena mínima obligatoria de dos años solo por el cargo de robo de identidad, además de una posible pena de hasta 30 años por los demás cargos.

Esas cifras son el titular. El detalle que merece atención es más pequeño y mucho menos cinematográfico: los fiscales dicen que lo que realmente permitió entrar a Moucka fueron contraseñas antiguas. No un día cero. No una vulnerabilidad en la plataforma objetivo, cuyo nombre el Departamento de Justicia aún no ha hecho público (Snowflake y la empresa de respuesta a incidentes Mandiant se identificaron como partes implicadas en 2024, vinculando el caso con la ola de filtraciones contra cuentas de clientes de Snowflake de ese año). Las credenciales habían sido recopiladas años antes por malware infostealer, permanecieron sin usar y sin rotar, y desbloquearon cuentas que, además, tenían desactivada la autenticación multifactor.

Por qué «sin rotar» es lo importante de esa frase

El malware infostealer es una categoría de software malicioso que, una vez que llega a un dispositivo —a menudo mediante una aplicación pirateada, una actualización falsa del navegador o un archivo adjunto malicioso—, extrae silenciosamente las credenciales almacenadas en el autocompletado del navegador y en los almacenes de contraseñas guardadas de esa máquina, y luego las envía a quien opera el malware. Esto no es nuevo ni exótico; lleva años siendo un servicio delictivo comercial, con lotes de credenciales robadas que se compran y venden al por mayor.

Lo que convierte el caso de Snowflake en un ejemplo didáctico útil es la distancia entre el robo y el uso. Según los informes, estas contraseñas concretas se habían recopilado «años antes». Eso significa que, durante un largo periodo, las personas propietarias de esas cuentas tenían una credencial comprometida activa en alguna base de datos y nada las obligaba a cambiarla. Ningún intento de inicio de sesión se marcó como sospechoso, porque el atacante aún no lo estaba intentando. No se activó ningún restablecimiento de contraseña, porque no había ningún ataque activo que alguien pudiera detectar. La credencial simplemente esperó, válida, hasta que alguien decidió usarla a gran escala contra cuentas de clientes de Snowflake.

Ese es el modo de fallo que crean las contraseñas reutilizadas y sin rotar: no es que necesariamente sean débiles —el malware infostealer también se apoderará encantado de una contraseña fuerte y única, directamente del almacén de contraseñas guardadas del navegador—. Es que una contraseña robada no tiene fecha de caducidad a menos que una persona o una política se la asignen. Una filtración de 2021 aún puede seguir abriendo puertas en 2024 si nadie rotó la credencial entre tanto.

La segunda cerradura que no estaba ahí

El otro detalle señalado por los fiscales —la autenticación multifactor desactivada en las cuentas afectadas— fue lo que convirtió una contraseña robada en acceso total a la cuenta. La autenticación multifactor está diseñada exactamente para este escenario: asume que las contraseñas acabarán filtrándose y añade una segunda prueba de identidad (un código, una notificación push, una llave de hardware) que una contraseña robada por sí sola no puede superar. Cuando está desactivada, una credencial filtrada es toda la barrera. Los informes sobre la ola más amplia de filtraciones vinculadas a Snowflake en 2024 han señalado que muchas cuentas afectadas no tenían la autenticación multifactor exigida de forma predeterminada, lo que significaba que la configuración dependía de que cada organización cliente la activara de manera explícita.

Lo que esto significa realmente para ti

La mayoría de los lectores de este boletín no administran un almacén de datos Snowflake, pero los mecanismos descritos aquí se aplican a cualquier cuenta que tengas en cualquier lugar:

  • Da por hecho que las contraseñas antiguas están comprometidas, no simplemente que son débiles. Si reutilizaste una contraseña en varios sitios y no la has cambiado desde entonces, considérala quemada —no porque alguien la haya adivinado, sino porque puede que ya esté en una lista de credenciales robadas que nunca verás.
  • Rota las credenciales después de que cualquier servicio que uses revele una filtración, incluso si te dicen que tu cuenta específica «no se vio afectada». Los avisos iniciales de filtración suelen estar incompletos mientras continúan las investigaciones.
  • Activa la autenticación multifactor en todos los servicios que la ofrezcan y no des por hecho que un servicio la habilita de forma predeterminada. Comprueba directamente la configuración de seguridad de la cuenta en lugar de confiar en que la opción más segura ya está activa.
  • Un gestor de contraseñas resuelve la causa raíz, no solo el síntoma: hace que las contraseñas únicas y no reutilizadas sean la opción que requiere menos esfuerzo, en lugar de algo que tengas que acordarte de hacer.
  • Si un dispositivo puede haber sido infectado con malware infostealer (se instaló un programa desconocido, se descargó contenido pirateado o apareció una alerta de inicio de sesión sospechosa), rotar después todas las contraseñas guardadas —no solo la que crees que importaba— es la única manera de saber que una infección antigua no sigue generando beneficios para quien recopiló los datos.

La discrepancia es la lección

Hay algo casi incómodo en que un caso de semejante trascendencia —una posible pena máxima de 30 años, una pena mínima obligatoria, los registros de 100 millones de personas— dependa de un mecanismo tan mundano. No hubo una cadena de exploits ni una técnica novedosa, solo una contraseña que nadie se molestó en cambiar y una configuración de seguridad que nadie activó. Esa discrepancia es precisamente la razón por la que vale la pena recordar el caso una vez que se apaguen los titulares de la sentencia: las mayores filtraciones no suelen necesitar un atacante brillante. Necesitan una credencial que nunca se rotó, en una cuenta donde nunca se activó la autenticación multifactor.