En diciembre de 2018, la red social para compartir fotos Fotolog sufrió una violación de datos que expuso 16,7 millones de direcciones de correo electrónico únicas. Los datos también incluían nombres de usuario y hashes de contraseña SHA-256 sin sal. El sitio se disolvió al año siguiente y se reutilizó como un sitio web de noticias con sede en Brcko, Bosnia y Herzegovina. 

Fotolog fue una de las redes sociales más populares en España hace más de 10 años  El portal cerró en 2016, pero regresó en 2018 en forma de portal de noticias y guías en 2018. Sin embargo, la plataforma sufrió un hackeo, y su base de datos no se había hecho pública hasta ahora.

El hackeo de Fotolog se hizo público junto a otras 16 páginas web, que incluían a 

• Dubmash (162 millones de cuentas)
• MyFitnessPal (151 millones)
• MyHeritage (92 millones)
• ShareThis (41 millones)
• HauteLook (28 millones)
• Animoto (25 millones)
• EyeEm (22 millones)
• 8fit (20 millones)
• Whitepages (18 millones)
• Fotolog (16 millones)
• 500px (15 millones)
• Armor Games (11 millones)
• BookMate (8 millones)
• CoffeeMeetsBagel (6 millones)
• Artsy (1 millón) 
• DataCamp (700.000)

Todas ellas eran vendidas por el mismo vendedor, sumando un total de 617 millones de cuentas, y meses después hubo quienes intentaron revender algunas de estas bases de datos por separado. Incluso en dos ocasiones encontramos que se vendían supuestamente 32 millones de cuentas hackeadas de Fotolog, buscando uno de los vendedores conseguir 1.000 dólares por la base de datos.

Fotolog ya disponible en Have I Been Pwned

Ahora, la base de datos de 16,7 millones de cuentas se ha hecho pública, y Troy Hunt, gestor de la web Have I Been Pwned, ha tenido acceso a esa base de datos, y la ha añadido para que podamos comprobar si nuestra dirección de correo y contraseña se encuentra entre las cuentas filtradas.

La base de datos tiene como fecha el 1 de diciembre de 2018, con una cifra total de 16.717.854 cuentas, que incluye direcciones de correo electrónico, contraseñas y nombres de usuarios. Las contraseñas están cifradas con SHA-256, pero no están salteadas, por lo que en principio sería posible recuperarlas.

Evita reutilizar contraseñas

Como siempre recomendamos, si tu cuenta está entre las hackeadas, y has utilizado el correo o el nombre de usuario con esa contraseña en otra página web, es importante que la cambies ahora mismo, ya que cualquiera cuenta con tus credenciales, y puede usarlas para tomar el control de otras de tus cuentas.

Este tipo de hackeos demuestran que, aunque es importante utilizar contraseñas seguras como números, mayúsculas o caracteres especiales, también es clave que esas contraseñas que usamos sean únicas. Si usamos una misma contraseña segura en muchos portales, y uno es hackeado, de nada nos servirá tener una contraseña segura. Por ello, es conveniente usar servicios para gestionar contraseñas como Google Passwords o LastPass, que cuando creamos una cuenta nueva en una web, nos sugieren una contraseña única y compleja, de manera que, si nos la hackean, sólo tendremos que cambiar la de esa cuenta, y podremos estar tranquilos.

Otro consejo es estar suscritos a Have I Been Pwned, gracias a lo cual recibiremos una notificación cuando una de nuestras direcciones de correo electrónico aparezca en una base de datos hackeadas.

Fuentes:

https://www.adslzone.net/noticias/seguridad/hackeo-fotolog-filtracion-16-7-millones-contrasena/