El ‘histórico’ agujero de seguridad de eBay compromete 145 millones de cuentas

La compañía eBay, que ha instado a sus usuarios a que cambien sus contraseñas tras reconocer un ataque masivo hace tres meses, ha sufrido una intrusión ‘histórica’ que pudo comprometer los datos de nada menos que unos 145 millones de usuarios.

De hecho, la recomendación de cambio de contraseñas está basada en que los intrusos tuvieron aun acceso parcial a estos datos entre principios de febrero y finales de marzo.

La portavoz de eBay Amanda Miller dijo que las contraseñas se encriptan y que la empresa no tiene ninguna razón para creer que los intrusos habían roto el código que las protege. «No hay evidencia de ningún impacto en los clientes de eBay», dijo Miller. «No sabemos si han descrifrado las contraseñas, algo que no es nada fácil de hacer».

Miller reconoció que los intrusos tuvieron acceso a 145 millones de registros de los que copiaron «una buena parte». Esos registros contienen contraseñas, así como direcciones de correo electrónico, fechas de nacimiento, direcciones de correo y otra información personal, pero no los datos financieros como números de tarjetas de crédito.

Miller también dijo que ebay ha contratado a la división forense Mandiant de FireEye para ayudar a investigar el asunto. Mandiant es conocida por la publicación de un informe de febrero de 2013 que describe un grupo de ‘hackers’ con sede en Shanghai vinculado al Ejército de Liberación Popular de China.

eBay comentó anteriormente que un gran número de cuentas podría verse comprometido, aunque se negó a decir cuántos.

Los expertos en seguridad recomienda a los clientes de eBay que estén alertas ante el fraude, sobre todo si se utilizan las mismas contraseñas para otras cuentas. «La gente tiene que dejar de reutilizar contraseñas y deben cambiar sus contraseñas afectadas inmediatamente», dijo Trey Ford, responsable de la seguridad global de la firma de seguridad cibernética Rapid7.

Michael Coates, director de producto de Shape Security, recordó que hay un riesgo significativo de que los intrusos pueden descifrar contraseñas porque normalmente las empresas sólo piden a los usuarios cambiar las contraseñas si creen que hay una posibilidad razonable de los atacantes pueden ser capaces de averiguarlas.

Sin embargo, eBay insistió en que no había visto ninguna indicación de aumento de la actividad fraudulenta en su sitio y que no hay pruebas de que su servicio de pago PayPal hubiese sito violado.

Acceso a cuentas coporativas

La compañía informó de que los ‘ciberintrusos’ lograron el acceso a los datos después de obtener las credenciales de inicio de sesión de un «pequeño número» de los empleados, lo que les permitió acceder a la red corporativa de eBay.

Se descubrió la infracción a principios de mayo y el caso se puso inmediatamente en manos de los expertos en seguridad y de la policía para investigarlo, dijo Miller.

«Hemos trabajado de forma agresiva y lo más rápido posible para asegurar la divulgación completa y precisa de la naturaleza y el alcance del compromiso», Miller, dijo cuando se le preguntó por qué la empresa no había notificado inmediatamente usuarios.

Esta brecha de seguridad podría terminar siendo la segunda más grande en la historia de una compañía en EEUU, si se tiene en cuenta el número de cuentas potencialmente afectadas.

Los expertos en seguridad informática apuntan a que el mayor problema de seguridad por número de posibles afectados lo sufrió Adobe en octubre de 2013, cuando intrusos informáticos lograron acceder a detos de unas 152 millones de cuentas de usuario.