Cientos de credenciales de Dropbox publicados sin que sea su culpa

A pesar de que durante un tiempo Dropbox se ha puesto como ejemplo de seguridad al tener un sistema bastante robusto y a prueba de ataques, finalmente ha terminado sufriendo una filtración de datos de acceso de cuentas de usuarios como otros muchos servicios en la red.

Un usuario de Pastebin ha publicado los datos de 400 usuarios, y asegura que tiene casi 7 millones, pero pide donaciones en bitcoins para seguir publicando más. De hecho se han publicado un par de posts más con otros cientos de credenciales, pero al contrario que los primeros, Dropbox ha asegurado que esos últimos no son reales.

Pero lo curioso del asunto es que aunque según Dropbox el primer post es totalmente real y los datos corresponden a cuentas reales, ellos no tienen la culpa de la filtración y no se debe a un fallo de seguridad suyo. ¿Cómo es posible? Pues en este caso pasa algo parecido a lo que ha ocurrido con Snapchat hace unos días, los datos se han conseguido a través de otros servicios, de hecho, ni siquiera son servicios de terceros asociados o vinculados con Dropbox, simplemente son datos de usuarios que repiten sus cuentas de email y contraseñas.

Sí, ya sabemos que no debemos repetir la misma contraseña en diferentes servicios, ya que si uno cae, caerían el resto. En esta ocasión, lo que ha pasado es que tras obtener los datos de acceso de centenares de usuarios, luego con sistemas automáticos se ha probado a ver cuales funcionaban en Dropbox, con muchos resultados positivos.

Aún así, Dropbox indica que si bien estos datos de acceso eran reales, están atentos a este tipo de ataques y avisan a los usuarios, por lo que muchas contraseñas ya no funcionan para acceder. Si creéis que podéis estar afectados, basta con cambiar de contraseña y no repetirla entre servicios.

Eso sí, independientemente de esto, según Edward Snowden Dropbox no es muy seguro de por sí en términos de privacidad, ya que sus servidores albergan los códigos de cifrado de las cuentas de usuarios, por lo que la NSA y otras agencias gubernamentales pueden obligarles a dar estos datos y acceder así al contenido de cualquier cuenta.