Un ataque a 000Webhost compromete los datos de millones de clientes

Las brechas de seguridad están a la orden del día, pero ataques de tal magnitud como el que ha afectado a 000Webhost no son habituales. Según ESET, desde marzo, 13 millones de cuentas de clientes del popular servicio de hosting se habrían visto comprometidas, y datos como el ID de usuario, nombre, dirección IP, email y contraseña en texto plano se estarían vendiendo en foros underground por un precio que podría sobrepasar los 2.000 dólares.
El robo de información se ha conocido gracias a la investigación realizada por Troy Hunt, experto en seguridad informática y creador del sitio web HaveIbeenpwned.com, que fue contactado por un usuario anónimo que le proporcionó los datos de algunos usuarios para que comprobara que eran verídicos. Troy trató de contactar sin éxito con algún responsable de 000Webhost para avisarles de este posible robo de datos. Finalmente, a través del periodista de Forbes, Thomas Fox Brewster, logró informar a los responsables de la empresa de hosting, que se han visto obligados a reaccionar para mitigar el alcance de este robo de datos, forzando a todos sus usuarios a cambiar las contraseñas y bloqueando temporalmente el uso de FTP para subir archivos a las webs por parte de los usuarios, además de eliminar páginas subidas de forma ilícita y cifrar las contraseñas de los usuarios.
A pesar de las medidas tomadas, los datos robados siguen en circulación y vendiéndose en el mercado negro desde hace meses. Aunque las contraseñas en venta ya no sean válidas para acceder a las cuentas de los usuarios de 000Webhost éstas pueden seguir siendo válidas en otros servicios. Ahora que salen a la luz más datos acerca de este robo de información, falta por ver si los usuarios se apresuran a crear nuevas contraseñas de acceso a su cuenta de 000Webhost y a modificar las contraseñas reutilizadas en otras webs y servicios online.
Para Josep Albors, responsable del laboratorio de ESET, “esta noticia nos demuestra, una vez más, que, cuando se manejan datos de usuarios, las empresas tienen la obligación de mantenerlos seguros aplicando todas las medidas necesarias. 000Webhost no lo hizo y ahora está pagando el precio e incluso podría enfrentarse a acciones legales si algunos usuarios deciden denunciarlos por no cumplir con las medidas de seguridad mínimas”.