No es un hackeo de PayPal
A pesar de que esta notificación ha sido enviada por PayPal a casi 35.000 de sus usuarios, no estamos ante un caso donde los atacantes hayan comprometido la seguridad de esta plataforma de pago. Los ataques de credential stuffing son ataques relativamente sencillos donde los delincuentes prueban suerte con nombres de usuario y contraseñas que ya están en su poder y que han sido obtenidos previamente, normalmente mediante filtraciones que se han ido publicando en foros de la dark web.
Aunque pueda parecer tedioso ir probando una por una cada combinación de usuario y contraseña, esto se puede automatizar, por lo que la inversión en tiempo y recursos que debe realizar un delincuente para probar un ataque de este tipo no es elevada, resultando casi siempre con alguna coincidencia y permitiendo acceder a varias cuentas donde se reutilizaban credenciales previamente filtradas.
Según la investigación realizada por la propia PayPal, se cree que los intentos de acceso se produjeron entre los pasados 6 y 8 de diciembre. Durante ese tiempo, los atacantes pudieron acceder a información personal de los usuarios afectados que incluye su nombre, dirección postal, número de la seguridad social, número individual de identificación fiscal o la fecha de nacimiento.
Medidas para prevenir incidentes de este tipo
Como acabamos de ver, PayPal ha adoptado medidas para tratar de evitar las consecuencias que un incidente de este tipo puede tener en los usuarios afectados. Sin embargo, este tipo de ataques no son consecuencia de fallos de seguridad en su plataforma, sino de malas prácticas por parte de algunos usuarios en la gestión de sus credenciales.
En el momento de publicar este artículo, los usuarios de las cuentas afectadas ya deberían haber recibido el correo de PayPal avisándoles del incidente y recomendándoles adoptar ciertas medidas de seguridad para prevenir casos similares en el futuro. Entre estas medidas encontramos algunas que se han repetido hasta la saciedad en los últimos años, pero que aún muchos usuarios no han adoptado:
- Actualizar periódicamente las credenciales de acceso a servicios online, especialmente aquellos que contengan información personal sensible o relacionada con medios de pago y, sobre todo, tras haberse notificado algún incidente de seguridad.
- A la hora de generar contraseñas robustas, no nos olvidemos de seguir los consejos habituales para evitar que sean fáciles de adivinar y, sobre todo, debemos evitar reutilizarlas en más de un servicio.
- Si se detecta algún tipo de actividad sospechosa en nuestra cuenta, debemos cambiar inmediatamente nuestras credenciales de acceso y notificar a la empresa para que realice las investigaciones pertinentes y adopte las medidas necesarias.
- La implementación de capas de seguridad adicionales como la autenticación multifactor sigue siendo una de las medidas más efectivas que podemos adoptar para evitar ataques de este tipo.
- Cuando se filtra información personal, es posible que se reciban correos tratando de suplantar a la empresa donde se almacenaba esta información. Si se tienen dudas sobre la legitimidad de estos correos, es mejor acceder a nuestra cuenta y comprobar si se nos ha enviado algún tipo de aviso.
- Si recordar todas las contraseñas que utilizas es complicado, es recomendable que utilices un gestor de contraseñas para facilitar su gestión.
La aplicación de todos y cada uno de estos consejos ponen las cosas más difíciles a los delincuentes que tratan de acceder a las cuentas de nuestros servicios online. Por ese motivo, es importante dedicar unos minutos a proteger nuestras cuentas para evitar perder tiempo e incluso dinero en el caso de que estas se vean comprometidas por una mala gestión de nuestras contraseñas.
