¿Olvidaste tu contraseña?

Un experto en seguridad ha revelado el peligro del mecanismo que nos permite recuperar contraseñas olvidadas. La famosa pregunta que nos proponen todo tipo de servicios on-line puede permitir a cualquiera acceder a nuestros datos. El proceso es simple: ir tirando de la madeja hasta que logremos acceder a una pregunta sencilla de responder sobre la persona de la que queremos obtener el acceso al servicio. Impresionante. 

La prestigiosa Scientific American ha servido para demostrar un curioso y revelador experimento: un experto en seguridad logró acceso a las cuentas bancarias de varias personas conocidas con tan sólo hacer uso de este mecanismo que nos permite recuperar la contraseña de un servicio on-line.

Herbert Thompson no utilizó complicadas técnicas de hacking: con tan sólo saber unos pocos datos personales de la persona en cuestión (nombre, lugar y fecha de nacimiento, universidad en la que estudió, y otras cosas por el estilo) era posible responder a alguna de las preguntas para recuperar una contraseña teóricamente olvidada. Bastaba con tirar del hilo: si no conseguía la respuesta a la pregunta de seguridad que se nos plantea con el famoso «¿Olvidaste tu contraseña?» simplemente probaba con otro servicio (e-mail, redes sociales, blogs) que al final lograba caer.

El problema reside en que muy pocas de las preguntas que nos proponen estos sistemas son realmente seguras. Es fácil averiguar el nombre de soltera de la madre, el año de nacimiento o el nombre de la mascota de alguien con un poco de ingeniería social. Eso da lugar a que buena parte de nuestra información puede ser lograda de forma sencilla no solo por alguien que nos conozca, sino también por cualquier extraño que busque información, por ejemplo (y cómo no) en Internet.

El documento con el proceso que siguió Thompson es realmente increíble, y demuestra que el proceso es factible. Y mucho.