¿Hasta dónde fue hackeado Dropbox en 2012?

Dropbox envió el fin de semana pasado correos electrónicos para informar que el sistema pediría un restablecimiento de la contraseña en el siguiente inicio de sesión, para los usuarios que no lo hubieran hecho desde mediados de 2012.

Dropbox descartó un ataque, al menos reciente, y explicó en su blog de soporte que en una comprobación habitual identificó una antigua serie de credenciales de usuarios de Dropbox (direcciones de correo y contraseñas con algoritmos hash y salt), relacionadas con un incidente sucedido en julio de 2012.

«En función de nuestro control de las amenazas y de la forma en la que aseguramos las contraseñas, no creemos que se haya accedido a ninguna cuenta de manera indebida», indican. No obstante, como precaución adicional, requieren que quien no haya modificado su contraseña desde mediados de 2012 la actualice la próxima vez que inicie sesión.

Si has recibido el mensaje de correo pero el sistema no te ha pedido que actualices tu contraseña, entonces no tienes que hacerlo. Esto significa que no te ajustas a los criterios. El sistema pide la actualización de contraseña a aquellos usuarios que no hayan cambiado la misma desde mediados de 2012.

¿Contó Dropbox toda la verdad en 2012?

Hasta aquí todo lo que ya sabíamos, con la información oficial. La novedad llega de una información de motherboard en la que asegura que obtuvo cuatro archivos con 5 Gbytes de datos con detalles de 68 millones de cuentas de Dropbox.

Dropbox contó en 2012 que “un hacker consiguió acceder a la contraseña de un empleado de Dropbox y robar una lista con direcciones de correo electrónico de usuarios”, y fue a raíz del spam que recibieron muchos de esos usuarios que se supo que algo había pasado.

Pero esa era solo una pequeña parte de la verdad. Lo cierto es que la mala práctica de seguridad de uno de sus empleados llevó a que fuesen sustraídos muchos más datos, incluyendo más de 60 millones de contraseñas. 

Dropbox recomienda ahora la actualización de la contraseña en otros servicios, si estás utilizando la misma. Lo hemos hablado en infinidad de ocasiones para recomendar el uso de distintas contraseñas: si un servicio se ve comprometido quien se haga con la contraseña tendría acceso a todos nuestros datos en el resto de plataformas.

El problema de Dropbox es que el aviso llega 3 años tarde porque el servicio de almacenamiento en nube fue comprometido en 2012 y el caso no se contó como debería. El investigador troyhunt, que se encarga de gestionar el conocido sitio web HaveIbeenPwned.com donde se pueden consultar si estamos afectado por alguna filtración masiva, ha confirmado la información de motherboard: El hackeo de Dropbox fue real.