Los servicios de notificación existentes tenían dos problemas, según Julian: la mayoría de los usuarios no sabía que existían, y muchos desconfiaban de entregar sus credenciales a otro servicio en línea más.
La idea
Invertir el modelo: en lugar de pedir a los usuarios que vigilaran los servicios de filtraciones, extraer tú mismo los volcados y enviar un correo a cada propietario expuesto diciéndole que sus credenciales son públicas.
A lo largo de tres días, Julian recopiló combinaciones filtradas de correo electrónico y contraseña de sitios al estilo de PasteBin; el 19 de mayo de 2015 su herramienta Canary envió 97.931 correos de advertencia preescritos; a finales de junio había recopilado 300.000 credenciales de inicio de sesión y estaba sopesando otro envío masivo.
Nueve respuestas de agradecimiento y cero donaciones: «como la campaña no me costó mucho, también está totalmente bien»; Julian calificó el experimento de éxito, con la esperanza de que muchos de los ayudados nunca respondieran porque perdieron el correo en los filtros de spam.
Cada gran hackeo vuelca combinaciones de correo electrónico y contraseña en el mercado negro, y Lily Hay Newman, de Slate, señaló lo obvio: la mayoría de nosotros nunca comprueba si nuestras credenciales están entre ellas. 'Julian', el bloguero seudónimo detrás de ATechDad, decidió comprobarlo por nosotros. A lo largo de tres días recopiló datos de usuarios filtrados publicados en alojamientos de texto plano como PasteBin, usando un scraper que construyó llamado Canary, que extraía automáticamente determinados datos de páginas web y enviaba correos preescritos avisando a las personas de que sus credenciales estaban expuestas.
La clave de diseño era la confianza. Ya existían servicios de scraping similares, escribió Julian, pero «1. La mayoría de los usuarios no tiene idea de que estos servicios existen. 2. Muchos usuarios desconfían de enviar la información que más les importa a otro servicio en línea». Su respuesta: las credenciales podían hablar por sí mismas; si están en PasteBin, hay que avisar al propietario, sin necesidad de registrarse.
El 19 de mayo de 2015, Canary envió correos a 97.931 personas cuya ciberseguridad estaba en riesgo. Motherboard señaló que muchos ignorarían un correo que parecía phishing; Julian recibió nueve agradecimientos, ninguna donación («esto no fue inesperado»), y a finales de junio había recopilado 300.000 credenciales de inicio de sesión, planteándose un segundo envío masivo. «En general, considero que este experimento es un éxito», escribió.
Eliminar el paso del registro eliminó la barrera de la confianza: las víctimas se enteraron de la filtración sin entregar nunca datos a un desconocido.
Todo el aparato era un scraper y correos preescritos: un servicio público de una sola persona a coste casi nulo.
La propia tibieza de la tasa de respuesta fue el hallazgo: la notificación de filtraciones por correo en frío apenas funciona, que es el problema que los servicios aún no han resuelto.
La brecha de notificación es un problema de diseño: salir al encuentro de las personas allí donde la filtración ya afloró, en lugar de pedirles que confíen en otro servicio más.
A finales de junio de 2015, Julian tenía 300.000 credenciales recopiladas, nueve agradecimientos y una decisión que tomar sobre un segundo envío masivo de correos, con el experimento documentado públicamente en ATechDad y cubierto por Slate y Motherboard.
CONSULTA LAS PRUEBAS