En el día de ayer se publicó el listado de Collection #1: un total de 773 millones de contraseñas, que probablemente recopilen algunas de las mayores filtraciones de usuarios y contraseñas de la historia. Sin embargo, ese listado es una pequeña muestra (un 10%) de todo lo que en realidad se habría filtrado.

1 TB de credenciales dejan en evidencia los 87 GB de Collection #1

Así lo afirma Authlogics, que ha descubierto recopilaciones numeradas de Collection #2, #3, #4 y #5. La colección de 773 millones de contraseñas filtrada en primera instancia ocupa 87 GB, mientras que las colecciones de la 2 a la 5 alcanzan los 784 GB. Extrapolando, podemos estimar que hay un total de al menos 7.700 millones de contraseñas filtradas, aunque podrían quedarse en algo menos si se eliminan duplicados y cuentas falsas.

El pack de Collection #2 tiene él solo 526,11 GB. En total, todas las contraseñas (incluyendo otras dos carpetas) alcanzan los 993,36 GB; casi 1 TB de credenciales. El hacker que los vendió ofrece hasta un total de 4 TB de credenciales por 45 dólares, lo cual garantiza “acceso limitado para siempre a las credenciales”.

The sale of some 773M email addresses and 21M unique passwords on a hacking forum has been dubbed the biggest ever. People are freaking out. But according to the guy selling this, it's neither new nor the biggest. It's about 2-3 years old https://t.co/TQxoSwpfSu pic.twitter.com/kpePzoOIqb

— briankrebs (@briankrebs) January 17, 2019

Así, es muy probable que alguna de las cuentas de email que hayas usado para registrarte en algunos sitios web hayan acabado en esta base de datos. Por ello, es muy importante que no reutilices nunca las contraseñas. Es más inseguro hacer eso que guardarlas en gestores como Google Passwords o LastPass.

7.700 millones de credenciales son más que toda la base de datos de haveibeenpwned

Desde Authlogics afirman estar en posesión de las cinco colecciones de datos, y que actualmente están siendo procesados y subidos a su Password Breach Database. Los datos no están todavía disponibles en haveibeenpwned, pero si esta empresa se ha hecho con ellos no deberían tardar en aparecer. El procesado y análisis de los datos les está llevando mucho tiempo, sobre todo porque las contraseñas están en formatos distintos.

Desde la compañía afirman que este tipo de bases de datos acaban filtrándose constantemente, y que en muchos casos contienen contraseñas repetidas o de filtraciones ya existentes. Sin embargo, el hecho de que haya 7.700 millones de credenciales es un nuevo superior a toda la base de datos que haveibeenpwned tiene en su web (6.500 millones en el momento de escribir la noticia).

Sobre el origen de los datos, desde la compañía afirman que es bastante difícil determinar su origen y fecha de filtración, ya que las bases de datos que han recibido están muy desordenadas, y los hackers que las obtuvieron no los agrupan precisamente en un Excel perfectamente detallado. Por ello, los investigadores tienen que mirar qué tipo de cuentas aparecen o cuándo aparecieron en la red.

Troy Hunt comentó en el día de la filtración de Collection #1 que las credenciales que aparecían ahí tenían varios años, y que ya habían pasado por las manos de unos cuantos hackers.