Miles de credenciales de cuentas de Mega, el servicio de almacenamiento en la nube creado por Kim Dotcom y que tiene su sede en Nueva Zelanda, han sido publicados de forma online según informan desde el medio ZDNet.

Se trata de un fichero de texto que contiene 15.500 nombres de usuario, contraseñas y nombres de los ficheros, lo que muestra que se ha accedido a las cuentas de forma ilegítima para obtener lo que había almacenado en ellas. Patrick Wardle, investigador jefe y cofundador de Digita Security, encontró el fichero en el mes de junio, después de que hubiese sido subido al sitio web de análisis de malware VirusTotal meses antes por un usuario presuntamente de origen vietnamita.

Después de recibir una copia del fichero con los datos de los usuarios de Mega, desde ZDNet se pusieron en contacto con algunos de ellos para verificar su autenticidad, cosa que se confirmó con los nombres de usuario, las contraseñas y en buena medida la lista de ficheros almacenados. Los listados que hay en el fichero abarcan una franja muy amplia de tiempo, desde el mismo debut de Mega en 2013 hasta enero del presente año.

Tras confirmarse que los datos de acceso y en un buen porcentaje las listas de ficheros eran ciertos, desde ZDNet decidieron enviar los datos a Troy Hunt, encargado del sitio de notificación de brechas de seguridad Have I Been Pwned. Se descubrió que los nombres de usuario y las contraseñas habían sido obtenidos de otras brechas anteriores, cosa que se confirmó en el 98% de las credenciales presentes. Por otro lado, Hunt ha comentado que aproximadamente el 87% de las credenciales coincidían con otras presentes en una colección de brechas de seguridad publicada en febrero de este año.

Con estos indicios se puede descartar que, al menos en un principio, el servicio de almacenamiento en la nube Mega haya sido hackeado directamente, sino que todo sería responsabilidad de unos usuarios que no protegieron correctamente sus cuentas. Esta hipótesis se solidifica si se tiene en cuenta que 5 de las personas con las que consiguió contactar ZDNet reconocieron usar o haber usado la misma contraseña en diferentes servicios.

De momento no se sabe quién ha recopilado los datos de los usuarios de Mega, basándose aparentemente en otros materiales publicados previamente. El mencionado servicio utiliza cifrado de extremo a extremo, por lo que en teoría no se pueden ver los ficheros subidos a menos que se acceda con las credenciales del usuario, aunque el hecho de que no soporte autenticación en dos factores termina allanando bastante la posibilidad de realizar accesos no autorizados.

Mega registra la IP con la que se ha accedido a su servicio, por lo que usuarios de Europa del Este, Rusia y Sudáfrica han reportado accesos sospechosos a sus cuentas en los últimos meses. Una de las cuentas que aparecen en el fichero almacenaba material relacionado con abusos a niños. Ante este hecho, Stephen Hall, Presidente de Mega, ha anunciado el cierre de la cuenta y la notificación a las autoridades para que procedan a investigar sobre este delito, sin embargo, ha recalcado que pillar a pedófilos y pederastas no es sencillo debido a que el cifrado les impide ver qué suben sus propios usuarios.

Sobre el impacto que ha tenido este incidente, es importante tener en cuenta que Mega tiene unos 115 millones de cuentas registradas. Recordando que la cantidad de cuentas afectadas fue de 15.500, nos sale un porcentaje demasiado bajo como para considerarlo algo grave, y viendo los indicios que hay, todo apunta a que la culpa la tienen los mismos usuarios, aunque no se puede descartar que aparezcan nuevos detalles en el futuro.

En MuySeguridad aprovechamos la ocasión para recordar y recomendar el uso de un gestor de contraseñas en caso de utilizar una gran cantidad de cuentas en Internet, ya que la repetición de las contraseñas puede terminar provocando cosas como esta. Para máxima precaución, recomendamos a todos los usuarios de Mega cambiar la contraseña cuanto antes.