Heartbleed: 5 respuestas a 5 dudas

La pasada semana unos ingenieros de Google y la empresa de seguridad Codenomicon descubrían lo que se denominó como Heartbleed, un error de software en la tecnología OpenSSL, que llevaba desde el año 2012 y que supone que los datos de las dos terceras partes de las páginas web mundiales (las que usan OpenSSL) han estado expuestos a hackers todo este tiempo.

Este descubrimiento, supone el ‘agujero negro’ más grande de la historia de Internet. Basándonos en un reportaje publicado en ChannelBiz, SiliconWeek te hace un resumen sobre lo más importante que debes tener en cuenta acerca de Heartbleed.

1. ¿Qué información queda expuesta a causa de Heartbleed?

Este error compromete las claves secretas, los nombres y las contraseñas de los usuarios y el contenido como pueden ser datos personales o financieros, comunicaciones privadas, documentos o fotografías adjuntas en correos o guardados en la nube.

Sólo los propietarios de las páginas web comprometidas serán capaces de estimar la probabilidad de lo que se ha filtrado y deben notificar a sus usuarios en consecuencia.

2. ¿Qué páginas se conoce, hasta el momento, que hayan sido afectadas y cuáles no?

Como refleja ChannelBiz, Facebook, Netflix, WordPress y Twitter no saben aún y recomiendan cambiar la contraseña, por si las moscas. Las que sí han admitido ya que se han visto afectadas son: Instagram, Pinterest, Tumblr, Google, Gmail. Yahoo!, Yahoo Mail , Etsy, GoDaddy, DropBox, Box, Minecraft y SoundCloud.

Entre las que admiten que no se han visto afectadas están Linkedin, Apple, Amazon, AOL, Microsoft, Hotmail / Outlook, eBay, Nordstrom, Groupon, PayPal, Target, Walmart y Evernote.

3. ¿Debo comenzar ya a cambiar las contraseñas?

Sólo cuando la página web afectada anuncie que ya ha reparado el error. Si se cambian antes de que los servicios hayan solucionado el fallo, estas seguirían estando expuestas. Ya se sabe que los usuarios de los servicios de Google ya pueden cambiar la contraseña y cuanto antes. Sobre otras páginas conviene estar atentos a las novedades.

4. ¿Es cierto que la Agencia Nacional de Seguridad de Estados Unidos está tras el ataque?

Teniendo en cuenta que desde hace un año se sabe que la NSA de Estados Unidos ha tenido acceso a la información privada de los usuarios y  gobiernos, muchos han acusado a este organismo de la creación del Heartbleed. Sin embargo,un informático alemán que trabajó en OpenSSL, pero que ha querido mantener su identidad en secreto, reconoce  que fue un error de él mismo, pero de forma ‘indeseada’, y dice no tener relación con la NSA.

5. ¿Debería preocuparme por mi cuenta bancaria?

Dicen los expertos que la mayoría de los bancos no utilizan el OpenSSL, sino que suelen usar software de encriptación propietario. De todos modos, recomiendan ponerse en contacto con su banco directamente para saber si el sitio web es seguro o no.  Además de mantener una estrecha vigilancia sobre los movimientos de la cuenta, por si acaso.