El equipo de investigación de amenazas de Microsoft ha encontrado un mínimo de 44 millones de cuentas de sus servicios con las contraseñas hackeadas. Son aquellas que los usuarios han reutilizado en varios servicios y alguno de ellos ha sufrido en el pasado una violación de seguridad.

Microsoft realizó una evaluación de amenazas de sus servicios a lo largo de un trimestre y los resultados son preocupantes, aunque no sorprendentes, ya que la utilización de las mismas credenciales para acceder a servicios de Internet es algo repetido aunque incumpla las normas más elementales en la creación de contraseñas. 

El resultado es el esperable. Una vez que un servicio sufre una violación de seguridad (y todos los años hay decenas de ellas en grandes servicios) millones de nombres de usuario y contraseñas se filtran (y/o se venden) en Internet. A partir de ahí los ciberdelincuentes solo tienen que utilizar un programa de repetición para probar esa autenticación. Si el usuario utiliza las mismas, vulnerada una, vulneradas todas.

Microsoft recomienda utilizar contraseñas únicas e incluso nombres de usuario únicos cuando sea posible para dificultar que un atacante simplemente las pruebe, obtenga acceso y suplante su identidad.

También insta a mejorar la seguridad de la contraseña usando la autenticación de dos factores. Un método que puede prevenir el 99,9 de los ataques incluso cuando la contraseña haya sido comprometida. 

Por su parte, Microsoft forzará un restablecimiento de contraseñas para las credenciales filtradas en cuentas de consumo, mientras que el lado empresarial con inicios de sesión de Microsoft Azure AD,  alertará al administrador para que se pueda aplicar un restablecimiento de credenciales.