Se filtra la mayor colección de usuarios y contraseñas… o no (II)

El leak estudiado posee 640 Gb de contenido. Debemos aclarar que no se trata exclusivamente del leak denominado “Collection #1” o los siguientes en aparecer “Collection #2” y sucesivos (más conocidos mediáticamente). Este tipo de colecciones están presentes en Internet, en distintos foros o colgadas en servidores a los que cualquiera, con un poco de paciencia, puede acceder.

Incluso teniendo en cuenta que el contenido de estos archivos no es siempre el más actual, o que muchos datos pueden ser absolutamente irrelevantes, no es solo este aspecto el que nos preocupa. Este tipo de leaks nos hace sentir vulnerables, y nos muestra de forma cruda cómo se mercantiliza la privacidad. Pero hay otras dimensiones que analizar. Por ejemplo, gracias a estos leaks es posible aprender qué les interesa a estos mercaderes, cómo construyen estas colecciones, cuáles son los distintos orígenes de los archivos y (sobre todo) para qué los emplean posteriormente.

Desde este punto de vista constructivo, vamos a observar cómo se estructura la colección y la posible procedencia de estos archivos. “Posible” porque no podemos llegar, en una mayoría de casos, a afirmar rotundamente su origen con certeza.

En ciertas carpetas, la organización se dispone en dominios TLD atribuidos a organizaciones y países. Esto permitiría centrar ciertos tipos de ataques (phishing y scam en general) sobre un tipo de organización o grupo con idiosincrasia común.

Observamos en esta disposición, listas de leaks procedentes (con bastante probabilidad) de sitios que podrían haber sido comprometidos, tanto para extraer su base de datos como para insertar código JavaScript y robar así los datos de los campos de los formularios rellenados por los visitantes (que se convierten así en las segundas víctimas tras la propia página vulnerada).

En ocasiones, se acumulan listas de sitios temáticos. Esto les resulta interesante a los atacantes debido a que es posible realizar con bastante tino campañas muy dirigidas. Imaginemos que usuarios de estos sitios reciben un correo donde se les conmina a introducir los datos de su tarjeta de crédito para que reciban un mes gratuito de suscripción o un descuento. Incluso mostrando la contraseña podrían ganarse la confianza de los usuarios. Obviamente, en el caso de sitios pornográficos o de relación entre adultos, podrían igualmente utilizar el consumo de este tipo de servicios como palanca de extorsión.

Existen otras tantas divisiones temáticas en base a diferentes tipos de servicios: compras, sitios de streaming, etc.

Habitualmente, los archivos contienen los correos y contraseñas en un formato clásico: [email]:[password]. En otros casos, la información está dispuesta en crudo. Esto es, por ejemplo, un volcado directo de la base de datos:

Como curiosidad, hemos creado unas estadísticas basadas en la frecuencia de dominios de correos electrónicos para poder observar cuáles se repiten más en los diversos leaks. Por un lado, hemos de tener en cuenta que algunos correos pueden repetirse en distintos archivos (ya comentamos que un gran número de ellos eran repeticiones del mismo correo en distintos leaks) y por otro, que ciertos servicios de correo son más populares que otros. También, en qué países puede llegar a ser más o menos útil este leak en el caso de campañas centradas por localización.

Seis de los dominios están centrados en Rusia, dos de ellos en Francia y otros dos en Reino Unido. QQ es un servicio principalmente utilizado en China.

También te puede interesar:
» Se filtra la mayor colección de usuarios y contraseñas… o no (I)