Seguridad

Reddit reconoce un hackeo de datos y culpa a la verificación en dos pasos

Reddit reconoce un hackeo de datos y culpa a la verificación en dos pasos

La famosa comunidad online Reddit reconoce que ha sufrido un hackeo de datos de sus usuarios y culpa a los SMS de verificación que completan el proceso de autenticación en dos pasos de la plataforma.

Durante los últimos años hemos vivido diversas brechas de seguridad de diferentes magnitudes que han menoscabado la confianza de los usuarios, obligado a las compañías a extremar sus medidas de seguridad y provocado el robo de millones de datos de usuarios de plataformas como Yahoo!, Dropbox o LinkedIn, muchos de ellos vendidos a posteriori en las turbias entrañas de la Deep Web.

Esta semana ha salido a la luz un nuevo caso de hackeo de sistemas, reconocido por la popular plataforma Reddit. Tras sufrir la intrusión de los ciberatacantes, este pudo acceder de forma no autorizada a información sensible de usuarios como sus cuentas de correo electrónico actuales, así como copias de seguridad de una base de datos del 2007 que contiene credenciales cifradas. Los hackers habrían accedido a los datos antiguos correspondientes al lanzamiento de la web en 2005, por un período comprendido hasta mayo de 2007.

El origen de la propia brecha de seguridad reside en la intercepción de mensajes de tipo SMS dentro de los procesos de autenticación en dos pasos de los empleados de Reddit, que incluían códigos únicos de inicio de sesión. El ingeniero fundador de la compañía, Christopher Slowe, relató a medios como TechCrunch que “el atacante no obtuvo acceso a los sistemas Reddit sino que obtuvo acceso solamente en modo lectura a algunos sistemas que contenían datos de back up, código fuente y otros registros”.

Desde la plataforma reconocieron que fue el pasado 19 de junio cuando se pusieron al tanto del incidente, sabiendo que las cuentas de sus empleados se vieron comprometidas entre los días 14 y 18 de dicho mes. Así, Reddit lamenta que la autenticación basada en mensajes SMS sea insuficientemente segura, por lo que alentaron a todos los profesionales de su plantilla a “pasar a una autenticación 2FA basado en tokens a través de aplicaciones como Authy o Google Authenticator.”. En este sentido, otras compañías como Facebook o Google ya emplean llaves físicas de seguridad para albergar datos sensibles o críticos. 

Reddit ya supera a Facebook en popularidad en los EE.UU

Lo que Reddit no ha dado a conocer es el grado de alcance de esta brecha de seguridad y por tanto, se desconocen las cifras de datos expuestos, aunque en el sistema que almacenaba la web sí se hallaban emails, nombres contraseñas, claves de cifrado y mensajes privados. Los hackers también habrían accedido a las newsletters enviadas por correo electrónico el pasado mes de junio, incluyendo nombres y direcciones de usuarios, así como los subreddits a los que estaban suscritos.

La popular plataforma ya se encuentra enviando mensajes a los afectados por email, la mayor parte usuarios que se unieron a Reddit desde sus comienzos hasta mayo de 2007. La principal directriz es que modifiquen su contraseña cuanto antes y que también cambien las credenciales si usan la misma para varias redes sociales o sitios web, una práctica desaconsejada por todos los expertos en ciberseguridad.

Fuente | TechCrunch

Sobre el autor de este artículo

Andrea Núñez-Torrón Stock

Licenciada en Periodismo y creadora de la revista Literaturbia. Entusiasta del cine, la tecnología, el arte y la literatura.