Comprobar si un email está en una brecha sin tocar contraseñas

Las filtraciones de datos son tan frecuentes que la pregunta útil no es si una dirección de correo ha quedado expuesta, sino dónde, cuándo y qué se expuso. Hay dos maneras de responderla: mirar los metadatos de la brecha o mirar su contenido. Este artículo defiende la primera y explica por qué la segunda cruza una línea legal y ética.

Exposición frente a secretos

Conviene separar dos cosas que a menudo se mezclan:

• La exposición: el nombre de la brecha, su fecha, la empresa afectada, el número de registros y los tipos de dato que salieron (emails, nombres, teléfonos, direcciones, contraseñas).
• Los secretos: el valor filtrado en sí. La contraseña, su hash, las respuestas de seguridad, las cookies de sesión.

Un ejemplo: «esta dirección aparece en la brecha de una tienda online de 2019, que expuso emails, nombres y hashes de contraseñas» es exposición. El hash en sí, o la contraseña que alguien haya sacado de él, es un secreto.

La exposición responde a casi todas las preguntas legítimas. Los secretos añaden riesgo sin añadir nada que una investigación legítima necesite.

Para qué sirve la exposición

• Autoauditoría. Saber qué cuentas tuyas se vieron afectadas, qué contraseñas cambiar y dónde activar la verificación en dos pasos.
• Seguridad en una organización. Ver qué direcciones corporativas aparecen en brechas para priorizar la formación y los cambios de credenciales, a través de los propios sistemas de la empresa.
• Prevención del fraude. Las fechas de las brechas dan una antigüedad mínima: una dirección que aparece en una filtración de 2015 existía en 2015.
• Investigación. Las brechas son puntos en la cronología de una cuenta, y la empresa afectada es un pivote hacia su infraestructura.

Las fuentes

Have I Been Pwned

El servicio que creó Troy Hunt permite buscar un email en su web de forma gratuita; la consulta por API requiere una suscripción. Cada brecha tiene su ficha: descripción, fecha, número de cuentas y tipos de dato. Además, marca las brechas verificadas, las fabricadas y las listas de spam, y deja fuera de la búsqueda pública las que considera sensibles, aquellas en las que la mera presencia revelaría algo íntimo del titular.

También ofrece avisos por correo para tus direcciones y una búsqueda por dominio para quien demuestre que lo controla.

XposedOrNot

Es un servicio gratuito con API que devuelve, para un email, las brechas en que aparece, su fecha, los tipos de dato expuestos, el sector de la empresa y una estimación del riesgo de las contraseñas de cada brecha, por ejemplo si estaban guardadas en claro.

LeakCheck

Su API pública devuelve los nombres y las fechas de las fuentes en las que aparece un email o un nombre de usuario, y qué campos contenían, sin los valores. Pandora usa solo esa API pública.

Cada servicio tiene su propia colección de brechas, así que los resultados no coinciden del todo. Combinarlos da una imagen más completa.

Cómo leer un resultado

• Aparecer en una brecha no significa que alguien haya entrado en tu cuenta. Significa que tus datos estaban en un sistema que fue comprometido. El riesgo real depende de qué salió y de si reutilizabas la contraseña.
• La fecha de la brecha y la de su publicación no son lo mismo: una filtración puede salir a la luz años después.
• Los tipos de dato dicen qué riesgo hay. Si aparecen contraseñas, importa cómo estaban guardadas: no es lo mismo texto en claro que un hash robusto.
• Verificada o no. Hay brechas fabricadas y recopilaciones que mezclan datos de muchas fuentes. Pesan menos.
• Cero resultados no significa cero exposición. Solo dice que la dirección no está en las brechas conocidas que han indexado esas fuentes.
• El nombre de la brecha puede ser un dato sensible. Aparecer en la filtración de una web de citas o de salud revela una categoría especial de datos. Si no es necesario para tu finalidad, no lo registres.

Por qué manejar credenciales filtradas cruza una línea

Algunas herramientas ofrecen el contenido completo de las filtraciones, contraseñas incluidas. Pandora no lo hace, por cinco razones:

1. Usar una contraseña filtrada para entrar en una cuenta ajena es un acceso no autorizado, que castigan el Código Penal español (art. 197 bis) y las leyes de la mayoría de países.
2. Descargar o guardar volcados es tratar datos personales robados a gran escala, sin una base jurídica que lo ampare.
3. Quien guarda volcados se convierte en la siguiente brecha. Esos ficheros acaban copiados y revendidos.
4. Los logs de infostealers son todavía más invasivos: contienen cookies de sesión y contraseñas guardadas en ordenadores infectados. Pandora no consulta los buscadores de esos logs.
5. No aporta nada legítimo. Hay quien usa contraseñas o hashes repetidos para enlazar cuentas de una misma persona. A veces funciona, pero se apoya en datos robados a sus víctimas.

El límite se mantiene también con los proveedores de pago: de los que se consultan por API, Pandora solo lee metadatos (fuente, fecha y tipos de dato), nunca el contenido de las brechas.

Cómo lo hace Pandora

Sobre un email, Pandora consulta XposedOrNot, la API pública de LeakCheck y, con clave, Have I Been Pwned. Une los resultados por nombre de brecha y enseña, para cada una, su fecha, los tipos de dato, el número de registros y qué fuente la reporta. La empresa afectada puede entrar al grafo como dominio, para pivotar a su infraestructura, y las brechas aparecen en la cronología junto a las altas de cuentas.

Cada brecha es una entidad del grafo enlazada a la dirección, así que, si varias direcciones del caso aparecen en la misma brecha, se ve de un vistazo. Eso no las relaciona entre sí: las brechas grandes contienen millones de cuentas.

Sobre un alias, la API pública de LeakCheck dice en qué fuentes aparece como nombre de usuario.

En ningún caso se piden ni se muestran contraseñas, hashes u otros valores filtrados.

Qué hacer si aparece tu dirección

1. Identifica el servicio y la fecha de cada brecha.
2. Si incluía contraseñas, cambia la de ese servicio y la de cualquier otro en el que la repitieras.
3. Usa un gestor de contraseñas y activa la verificación en dos pasos donde se pueda.
4. Comprueba tus propias contraseñas sin exponerlas. El servicio Pwned Passwords usa un modelo de k-anonimato en el que solo se envían los cinco primeros caracteres del hash SHA-1 de la contraseña, y varios gestores de contraseñas lo integran. Nunca pegues una contraseña en una web que no conoces.
5. Desconfía de los mensajes que usan datos expuestos, como tu teléfono o tu dirección, para parecer legítimos.
6. Suscríbete a los avisos de Have I Been Pwned para tus direcciones.

En una organización: de la lista al plan

Para una empresa, la exposición de sus direcciones corporativas es un dato de seguridad útil, siempre que se trate sin buscar culpables:

1. Obtén la lista por la vía prevista. Have I Been Pwned permite buscar todas las direcciones de un dominio a quien demuestra que lo controla, y otros servicios ofrecen una vigilancia parecida.
2. Ordena por riesgo. Primero, las brechas que incluían contraseñas; después, las que expusieron teléfonos o direcciones postales, que alimentan el phishing y el fraude telefónico.
3. Actúa desde tus propios sistemas. Fuerza el cambio de contraseña en tu proveedor de identidad, exige la verificación en dos pasos y revisa si se usa el correo corporativo para servicios personales.
4. Comunica sin señalar. Aparecer en una brecha casi nunca es culpa del empleado: le ocurrió al servicio que usaba.
5. Repite la revisión cada cierto tiempo. Las brechas se siguen publicando.

Nota legal y ética

Incluso los metadatos de exposición de un tercero son datos personales. Consulta solo las direcciones que tu finalidad justifica, no conviertas una lista de brechas en un perfil de la persona y trata con especial cuidado las brechas cuyo nombre revela información sensible.

Este artículo no es asesoramiento jurídico.