Intentos de iniciar sesión a montones

[smash]

Hola,
Hace algo más de 10 años que tengo un correo electrónico de batalla (con el que me registro en todos lados prácticamente), y para uso personal doy otro.

La cuestión es que me ha parecido extraño encontrar un correo borrado en la papelera que no recordaba que estuviera allí, y se me ha ocurrido ir a buscar la opción de consultar las sesiones iniciadas, si es que alguien ha accedido a mi correo.

Para mi sorpresa encuentro que TODOS los días, intentan reiteradamente iniciar sesión con mi correo de batalla, desde distintos países, navegadores y sistemas operativos. Siempre sale inicio de sesión incorrecto pero estoy acojonado. ¿Esto es normal? El de batalla es un alias y creo que nunca se puede iniciar sesión con él aunque pusieras la contraseña correcta, pero no veo normal que se hagan tantos intentos. Es automatizado y de manera masiva o vienen a por mí? ¿Alguien más lo ha mirado en su proveedor de correo?

 

[McClane]

Hola,
Hace algo más de 10 años que tengo un correo electrónico de batalla (con el que me registro en todos lados prácticamente), y para uso personal doy otro.

La cuestión es que me ha parecido extraño encontrar un correo borrado en la papelera que no recordaba que estuviera allí, y se me ha ocurrido ir a buscar la opción de consultar las sesiones iniciadas, si es que alguien ha accedido a mi correo.

Para mi sorpresa encuentro que TODOS los días, intentan reiteradamente iniciar sesión con mi correo de batalla, desde distintos países, navegadores y sistemas operativos. Siempre sale inicio de sesión incorrecto pero estoy acojonado. ¿Esto es normal? El de batalla es un alias y creo que nunca se puede iniciar sesión con él aunque pusieras la contraseña correcta, pero no veo normal que se hagan tantos intentos. Es automatizado y de manera masiva o vienen a por mí? ¿Alguien más lo ha mirado en su proveedor de correo?

No, no es normal. Activa el inicio de sesión en dos pasos y cambia la contraseña YA MISMO.

 

[pUllastre]

Con qué proveedor tienes ese buzón de correo? dependiendo de cuál, podrás o no activar lanopción de autenticación en dos pasos (a parte de poner tu contraseña, recibir un sms, mail o bajo aplicación un segundo código temporal).

A parte, como no, modifica la contraseña ya mismo.

Y asegúrate si la tienes configurada en alguna app sospechosa.

Y ya si quieres puedes comprobar si esa cuenta ha sido 'robada' en algún site comprobándolo aquí: https://haveibeenpwned.com/ pq es muy posible que esté en un listado y como será público anden usándolo para lo que sea (de ahí también sustituir las contraseñas cada X tiempo)


Si quién te da el servicio del buzón, no tiene opciones de doble factor ni otra forma de bloquear la cuenta si pones mal la contraseña X veces, yo daría de baja ese buzón directamente.

 

[smash]

Gracias por responder.

Es de microsoft. Tengo la cuenta de hace años, y efectivamente hace un tiempo miré en haveibeenpwned (a raíz de que entraron en mi cuenta de mega, todavía no entiendo como, me queda la duda si piqué en un correo falso que no he buscado, no lo sé. la cambié) y esa cuenta de correo aparecía, en un par de filtraciones creo recordar, pero la contraseña que usara (un foro en el que entré 2 veces), era distinta.

No tengo ninguna app. Solo entro al correo desde el ordenador. Por otra parte, veo que SÍ entra al correo si uso el alias y la contraseña correcta. Por lo que en ese caso estoy obligado a cambiarla.

Lo más lamentable del asunto es que estos hijos de perra no me lo han notificado nunca, que hay tantos intentos de iniciar sesión diarios desde distintas partes del mundo.

Tengo un protonmail abandonado, quizá no sea mala idea recuperarlo. Pero en alguna ocasión comprobé que es un correo que "no gusta" a ciertos portales generalistas. Eso me hizo ver que es una buena señal, irónicamente.

El problema es que en la mayoría de tiendas online, y algun que otro sitio estoy usando ese alias y darlo de baja directamente me supondría no poder cambiar el correo de usuario en todos esos sitios.

Voy a pensar que hago.

Ah, y la contraseña que uso para el correo es única, ya que es la madre de los huevos a la hora de recuperar o cambiar cualquier otra contraseña.

 

[pUllastre]

Lo más lamentable del asunto es que estos hijos de perra no me lo han notificado nunca, que hay tantos intentos de iniciar sesión diarios desde distintas partes del mundo.

pocas suelen hacerlo sino no son mínimamente avanzadas.

Tengo un protonmail abandonado, quizá no sea mala idea recuperarlo. Pero en alguna ocasión comprobé que es un correo que "no gusta" a ciertos portales generalistas. Eso me hizo ver que es una buena señal, irónicamente.

gmail es gratuito, te permite tener cuentas de recuperación, doble factor (muy importante) con teléfonos, mails, sms, aplicación de youtube para autenticar , por ejemplo... pass temporal con distintas apps de doble factor...

otras opciones, GMX, Yahoo, Outlook creo que también tiene gratis.

El problema es que en la mayoría de tiendas online, y algun que otro sitio estoy usando ese alias y darlo de baja directamente me supondría no poder cambiar el correo de usuario en todos esos sitios.

reenvío de correos temporal mientras no cambias correo definitivamente. yo esa cuenta no la usaría más si dices que es solo para cacharrear.

y, si por casualidad tienes Iphone, con iCloud+ tienes la opción de crear cuentas aleatorias que te reenvían los mails a tu cuenta. de forma que mantienes anonimato y si te das de alta en sitios rarunos, cierras, te petas la cuenta, y listos.

 

[pUllastre]

sobretodo, MFA. te librarás al menos de los 'simples mortales'. existen aplicaciones de fuerza bruta para reventar contraseñas. si proton no protege ni de eso, fuera.

 

[naviblue]

Eso va a ser esa novia despechada, que no le dijiste nada bonito cuando volvía de la peluquería, ¡ esaborío !

 

[pUllastre]

 

[smash]

pocas suelen hacerlo sino no son mínimamente avanzadas.



gmail es gratuito, te permite tener cuentas de recuperación, doble factor (muy importante) con teléfonos, mails, sms, aplicación de youtube para autenticar , por ejemplo... pass temporal con distintas apps de doble factor...

otras opciones, GMX, Yahoo, Outlook creo que también tiene gratis.



reenvío de correos temporal mientras no cambias correo definitivamente. yo esa cuenta no la usaría más si dices que es solo para cacharrear.

y, si por casualidad tienes Iphone, con iCloud+ tienes la opción de crear cuentas aleatorias que te reenvían los mails a tu cuenta. de forma que mantienes anonimato y si te das de alta en sitios rarunos, cierras, te petas la cuenta, y listos.

la cuenta es de outlook, sí permiten doble factor, pero de momento he cambiado la contraseña por una con dígitos aleatorios. Deberían estos y los de proton (no me espero menos), bloquear los ataques de fuerza bruta. Por mucho que prueben una cada segundo, tardarían siglos.

Pero del ecosistema de google solo me interesa el buscador y youtube, y sin estar registrado. Para vídeos de +18 uso a veces nsfwyoutube. A veces el maps, pero no lo uso en el móvil.

Esto de las cuentas temporales es interesante, pero no uso apple.

 

[pUllastre]

pues si no habilitas MFA y solo cambias dos caracteres, mañana estarás en las mismas si el proveedor no bloquea por intentos fallidos.

 

[smash]

pues si no habilitas MFA y solo cambias dos caracteres, mañana estarás en las mismas si el proveedor no bloquea por intentos fallidos.

quien ha dicho que haya cambiado dos carácteres? por otra parte, esta tabla es totalmente engañosa. ¿Cuántas contraseñas por segundo se supone que prueba? Y esto sería en modo local usando fuerza bruta del procesador, pero en ningún caso haciendo consultas con un inicio de sesión.

Yo mismo hace años profundicé bastante en tema criptografía, y me programé en C# una utilidad simplemente para ver cuánto tiempo se tardaba precisamente a romper un cifrado, pero podías escoger además de los tipos de carácteres, cuantas contraseñas por segundo utilizabas, y cuantos ordenadores.

Una contraseña de solo 4 números equivale a 10.000 posibilidades. En serio un proveedor de correo no va a bloquear esta barbaridad? Y mucho menos "instantáneamente".

Una contraseña de 4 dígitos con números y letras minúsculas ya son 36^4 = 1.679.616 posibilidades. Dudo yo que eso se haga instantly.

Si quieres seguimos con 8 dígitos, combinando con mayúsculas, símbolos, luego 16... verás como crece la cosa.

 

[pUllastre]

quien ha dicho que haya cambiado dos carácteres?

eso me pareció entender antes. no te enfades.



Salut