El secuestro de cuentas de correo es una tendencia cada vez más frecuente en servicios de correo electrónico Web como Hotmail. Muchas veces es difícil detectar las cuentas comprometidas y secuestradas e incluso es más complicado recuperarlas, pues un atacante podría cambiar información clave que bloquea el acceso al propietario legítimo de su propia cuenta. Esto hace que sea extremadamente difícil recuperarla.

Un post publicado en el blog Inside Windows Live señala que “el camino más rápido para recuperar una cuenta, ya sea que haya sido bloqueada o simplemente olvidamos la contraseña, es resetear la contraseña utilizando una prueba de cuenta. Estas pruebas son como llaves de repuesto. Si las establece antes, luego podrá utilizarlas para demostrar que usted es el propietario legítimo de la cuenta”. Además, añade que, “hasta ahora, hemos ofrecido dos pruebas, una dirección de correo electrónico alternativa y una pregunta personal relacionada con una respuesta secreta”.

El problema con estas pruebas, que son estándares en varias aplicaciones y servicios Web, es que es bastante sencillodescubrir las direcciones de correo alternativas de los usuarios y las respuestas secretas como el nombre de soltera de tu madre o la ciudad en la que estudiamos pueden encontrarse de manera sencilla en la red. De hecho, ya no suponen un reto para los atacantes.

Así, Microsoft presentó dos nuevas pruebas que se basan en la posesión física de un dispositivo en lugar de estar relacionadas con preguntas personales. Microsoft permitirá ahora a los usuarios designar una“Trusted PC”, es decir, un equipo de confianza, la autoridad para restablecer una cuenta de Hotmail, siempre y cuando la acción se realice desde el citado equipo. Por otro lado, Microsoft ofrece a sus usuarios la alternativa de agregar un número de teléfono móvil al que Microsoft puede enviar un mensaje de texto con un código secreto restablecido.

Como un nivel adicional de protección, Microsoft pide que los miembros de Hotmail utilicen una prueba existente para añadir o cambiar una prueba. El blog Inside Windows Live explica este punto. “Por ejemplo, si su cuenta ya ha sido establecida con una prueba alternativa de correo electrónico y desea agregar un número de móvil, necesitará utilizar la dirección de correo electrónico alternativa para poder hacerlo. Esto significa que, incluso aunque un atacante le robe su contraseña, no podrá bloquearle el acceso a la misma o crear puertas traseras para ellos. Usted siempre será capaz de obtener su cuenta de nuevo y sacar a los secuestradores de la misma”.

Un atacante podría poner en peligro la información personal o la contraseña de una persona a través de un ataque de phishing o a través de malware. También podría ordenar una acción de este tipo para apropiarse con su cuenta de Hotmail, pero es más difícil que también tenga acceso a una PC en concreto o un teléfono móvil. Así, los nuevos controles harán que la protección y recuperación de las cuentas de Hotmail sea mucho más sencilla para sus propios usuarios.