Una contraseña reutilizada entre un sitio personal y la cuenta del trabajo

Una filtración proporciona pares de usuario y contraseña. El atacante los prueba en servicios de acceso habituales, entre ellos los accesos de administración remota, las aplicaciones en línea y el correo¹. MITRE precisa que el método es arriesgado para el atacante, porque puede provocar numerosos fallos de inicio de sesión y bloqueos de cuentas, según la política de la organización¹.

La CISA relata el caso de Emma, un relato ilustrativo sin fecha. Recibe el aviso de su banco por una transferencia de 700 dólares que no ha pedido y descubre después que ya no puede abrir su correo para restablecer la contraseña. Tenía la misma contraseña en ambas cuentas, procedente de una filtración de una empresa publicada en línea⁶.

Una cuenta, una contraseña. La CNIL pide proteger cada cuenta sensible (banco, correo, red social) con una contraseña propia y única, para evitar los ataques en cascada⁵. La CISA recomienda contraseñas de al menos 16 caracteres, aleatorias y distintas para cada cuenta⁶.

Use un gestor de contraseñas. Es imposible recordar una contraseña fuerte por cada cuenta, y el gestor se encarga: las genera, las almacena y las introduce por usted⁶. También puede avisar de que una contraseña se ha filtrado⁴. El NCSC añade que el relleno automático protege del phishing, porque la contraseña solo aparece en el sitio correcto⁴. Solo le queda una contraseña maestra que recordar, que el NCSC aconseja proteger a su vez con la doble autenticación⁴. En un ordenador compartido, no deje nunca que el navegador guarde una contraseña⁵.

Active la doble autenticación. Para el NCSC es el primer paso, porque protege incluso si la contraseña es objeto de phishing o queda comprometida⁴. La CISA precisa que las contraseñas fuertes ya no bastan por sí solas y que no todos los métodos valen lo mismo: la llave de seguridad es la que más protege y el código recibido por SMS o por correo la que menos, y debe usarse solo a falta de algo mejor⁷. También anima a los empleados a activarla en sus cuentas personales⁷.

Si una contraseña ha podido filtrarse, cámbiela sin esperar. El NCSC pide cambiar cuanto antes la contraseña del correo si se ha reutilizado y elegir después una fuerte y distinta de todas las demás³. La CNIL espera que un servicio afectado por una filtración recomiende al usuario modificar las contraseñas de sus otros servicios si usaba la misma⁸.

• Mantener la misma contraseña en la cuenta del trabajo y en cuentas personales: es exactamente el caso que describe MITRE¹. El NCSC habla de una contraseña que no se usa en ninguna otra cuenta, "either at home or at work"³.
• Registrarse en un sitio personal con la dirección profesional. La dirección sirve de identificador en muchos sitios, y las listas de pares circulan con esas direcciones².
• Creer que un sitio secundario no cuenta. Una contraseña es válida en todos los lugares donde se ha reutilizado, sea cual sea el sitio del que se filtró¹.
• Conformarse con un código por SMS o por correo. Es mejor que nada, pero es la forma más débil de doble autenticación⁷.
• No saber qué contraseñas están reutilizadas. Un gestor puede señalar las contraseñas débiles o reutilizadas⁶.