El lunes conocimos que la empresa Hacking Team había sido hackeada y más de 400GB de información confidencial se ha filtrado a Internet. Además también conocimos que el Hacking Team tenía un exploit 0day en Adobe Flash, sin embargo es extraño que su empresa no se viera comprometida antes debido a que utilizaban como contraseña "Passw0rd" en cada uno de los sistemas.

A parte de lo vergonzoso que es un hackeo a una empresa que se dedica precisamente a eso, a comprometer los sistemas y a trabajar con países y organizaciones para desarrollar herramientas con el objetivo de espiar a sus ciudadanos, lo es aún más cuando se ha conocido que el director gerente de la empresa utiliza la contraseña "Passw0rd" en todos los sistemas de la compañía. No sólo es grave que el director de una empresa que se dedica al hacking utilice una contraseña tan poco segura como esta, sino que además el personal de la compañía también utilizaba este tipo de contraseñas en sus servicios, contraseñas muy débiles que en cualquier diccionario de claves se encuentran las primeras y que por supuesto no se deben usar nunca.

La mayoría de las contraseñas expuestas que han aparecido en Internet del Hacking Team, no cumplen con las buenas prácticas de contraseñas:

• Letras mayúsculas
• Letras minúsculas
• Letras minúsculas
• Números
• Símbolos

Longitud mayor de 12 caracteres siempre que sea posible.

Asimismo, a juzgar por la información que se ha filtrado, tampoco se utilizaba ningún tipo de autenticación en dos pasos (algo que sabemos como las contraseñas, y algo que tenemos como por ejemplo nuestro teléfono móvil para generar códigos aleatorios). Otra opción que hubieran añadido una capa adicional de seguridad para proteger sus sistemas es utilizar una herramienta como Latch, que impide que un usuario con clave legítima (una clave robada por ejemplo) acceda a un determinado servicio si el "pestillo" está cerrado, de esta manera se impide que un usuario malintencionado acceda al servicio y además nos permite saber si alguien ha intentado iniciar sesión mientras el pestillo estaba bloqueado.

Fuente:RedesZone

Cita de: #i[J]0SEE en Julio 11, 2015, 11:10:59 AM
Esa contraseña la pusieron para que los hackearan, ellos saben perfectamente el peligro que tenían.

Estoy totalmente de acuerdo contigo.