Hotmail le dice «no» a las contraseñas más comunes

El servicio de correo electrónico de Microsoft no permitirá usar passwords simples e inseguros como «123456». También incorporó una herramienta para denunciar si la cuenta de un amigo fue hackeada por un spammer.

El equipo de Hotmail está al tanto de la enorme cantidad de cuentas de correo que son robadas diariamente por hackers que luego las utilizan para enviar spam. Dick Craddock, Group Program Manager del servicio de correo de Microsoft, admitió que se trata de un problema que les preocupa y por eso pusieron manos a la obra.

En un posteo de blog, Craddock relata dos medidas que intentarán reducir la cantidad de cuentas hackeadas y acelerar el proceso de recuperación de las mismas. La primera ya está en funcionamiento. Se trata de un sistema de aviso para denunciar cuando la cuenta de un conocido fue robada por un spammer.

Desde Hotmail explican que siempre es más rápido que un amigo del usuario hackeado se dé cuenta de lo que ocurre antes que suenen las alarmas en los sistemas internos de la empresa. Es un conocido del usuario el que se va a percatar del envío de spam (ofreciendo comprar algún servicio que sabemos nada tiene que ver con nuestro amigo), o de la recepción de correo incongruente (por ejemplo, un mail pidiéndonos dinero para ayudar a nuestro conocido porque quedó varado en algún país lejano, cuando sabemos perfectamente dónde está y que está bien). Microsoft eventualmente se va a percatar del robo de la cuenta, pero no tan rápido como un usuario de carne y hueso.

Ahora, Hotmail le permite a ese usuario avisarle a la empresa que la cuenta de su amigo está siendo utilizada para enviar spam. Al abrir el correo enviado por el hacker, hay que ir al menú «Anotar como» y seleccionar la opción «Piratearon la cuenta de mi amigo«.

Ese mensaje llega directamente a Hotmail, que procede a bloquearle el envío de spam al pirata informático y le ofrece el flow de recuperación de cuenta al usuario perjudicado para que vuelva a tener control sobre su correo. Según la compañía, la implementación de este sistema (que está activo desde hace un par de semanas), permite recuperar cuentas dentro de las 24 hs. luego de recibida la denuncia.

Microsoft llegó a un acuerdo con Yahoo! y Gmail para aplicar el aviso de «cuenta comprometida» en correos de su pertenencia. Desde Hotmail se podrá, entonces, denunciar cuentas hackeadas que fueran @yahoo.com (y regionales) y @gmail.com, permitiéndoles a ambas empresas acelerar los tiempos de recuperación de las cuentas hackeadas para que vuelvan a manos de sus verdaderos usuarios.

«No» a los passwords inseguros

La segunda medida implementada por Microsoft para luchar contra las cuentas hackeadas empieza por el lugar clave: las contraseñas.

Mucho se ha hablado de la enorme cantidad de gente que sigue usando claves tan simples como inseguras, tal el caso de la conocida «123456». Los más comunes «ataques de diccionario» usan palabras y combinaciones de palabras conocidas para intentar acceder a una cuenta de correo. Ante una contraseña sumamente común, no lleva mucho tiempo conseguir el acceso. Lo más peligroso: es tan poco el tiempo que lleva (apenas algunos intentos), que la empresa no lo reconoce como un intento de violación a la cuenta. «Hotmail cuenta con defensas contra los ataques de diccionario estándars, ¡pero cuando alguien puede adivinar tu contraseña probando un par de veces, no lo podemos considerar «fuerza bruta»!,» explica Craddock en el blog.

Para impedir que sus usuarios sigan eligiendo claves inseguras, Hotmail decidió implementar un nuevo sistema que directamente va a impedir el uso de ciertas palabras, combinaciones de palabras y números.

Se pondrá en funcionamiento en las próximas semanas en cuentas nuevas e impedirá el uso de contraseñas como «123456» o «password», que son dos de las más comunes. También se concentrará en la combinación común de palabras como «amolosgatos» o «aguanteestudiantes».

Aparte de funcionar en altas de cuentas nuevas, también regirá para los pedidos de cambio de contraseña. A futuro, la empresa analiza solicitarle a todo aquel usuario que hoy tenga un password inseguro cambiarlo por otro que resista mejor el ataque de un hacker.