¿Caso cerrado?

Como recordaréis, hace unos meses Kriptópolis informó sobre la existencia de un sitio web "oriental" (aunque no muy oriental, como alguien ya apuntaba) que exponía listados con las contraseñas de acceso FTP de cientos de sitios web españoles.

En aquel momento no quise publicar los detalles, porque consideré que hacerlo podría perjudicar a algunos de estos sitios que quizás no hubieran cambiado sus contraseñas. Sin embargo, mi prudencia fue recibida entonces con escepticismo y desconfianza por parte de algunos.

Afortunadamente los responsables de los cuerpos de seguridad españoles parece que se tomaron el asunto con interés, porque a las pocas horas el sitio en cuestión ya estaba inaccesible. Sin embargo los datos en cuestión seguían estando disponibles en la caché de Google, por lo que el tema estaba resuelto sólo al 50%, que es lo mismo que decir que -en la práctica- seguía existiendo riesgo. A las pocas semanas la situación empeoró aún más, porque el propio servidor original volvía a servir los mismos ficheros.

La discrección de las fuerzas de seguridad me mantiene en la ignorancia, y sólo me permite especular sobre qué pudo suceder a partir de ese momento, pero lo cierto es que tanto el servidor original (arkanum punto in), como la copia cacheada, hace tiempo que han dejado de ser accesibles.

Para algunos lectores se tratará de un secreto a voces, porque ellos ya habían apuntado a este origen. Los más escépticos quizás puedan ahora comprobar que Kriptópolis no suele dar puntada sin hilo...

Hace mucho tiempo -por cierto- que evito los titulares explosivos sobre vulnerabilidades y revelaciones públicas de secretos, ya sean debidas a la mala fe o al descuido, aunque -como cualquiera puede suponer- informaciones al respecto llegan a este sitio con cierta frecuencia. En el caso concreto de Arkanum decidí informar para que los posibles afectados pudieran reforzar su seguridad y para que quienes podían evitar la fuga de los datos pudieran ejercer su labor. De haber buscado el titular sensacionalista, obviamente hubiera optado desde el principio por publicar la URL del listado... y pelillos a la mar.

Otro ejemplo... ¿Acaso no daría para un titular sensacionalista el hecho de que una importante cadena de televisión esté mostrando ahora mismo sus contraseñas de FTP en un fichero javascript de público acceso? Pues como lo cuento, oigan. ¿Que no se lo creen? Esperen los detalles.