Un archivo con cerca de 5 millones de direcciones de correo de Gmail con contraseñas en claro fue publicado el martes en un foro en línea. Los datos son obsoletos y probablemente procedentes de múltiples violaciones de datos anteriores, de acuerdo con una empresa de seguridad.

Un usuario con el alias de "tvskit" publicó el archivo en un foro de seguridad de Bitcoin llamado btcsec.com y afirmó que más del 60 por ciento de las credenciales encontradas en el archivo son válidas.

"No podemos confirmar que sobrepase el 60 por ciento, pero una gran cantidad de los datos filtrados son legítimos", dijo Peter Kruse, director de tecnología de CSIS Security Group, una compañía de seguridad danesa que proporciona inteligencia cibercriminal a instituciones financieras y de orden público.

Investigadores del CSIS analizaron los datos y concluyeron que tienen una antigüedad de 3 años, basándose en correlaciones con fugas anteriores.

"Creemos que los datos no proceden directamente de Google", dijo Kruse por correo electrónico. "En cambio, es probable que provenga de varias fuentes que han sido comprometidas."

Esto significa que muchas de las contraseñas filtradas no corresponden a Gmail o cuentas de Google, sino a cuentas de otros sitios donde los usuarios han utilizado sus direcciones de Gmail como nombre de usuario.

CSIS tiene confirmación de que al menos cinco pares de nombres de usuario y contraseñas filtrados nunca fueron utilizados como credenciales de acceso a Gmail o cuentas de Google. Esto refuerza la idea de que los datos provienen de sitios comprometidos ajenos a Google, aunque es posible que todos los ataques fueran perpetrados por una sola persona o grupo, dijo Kruse.

"La seguridad de nuestros usuarios es de suma importancia para nosotros", dijo un representante de Google el miércoles por correo electrónico. "No tenemos alguna evidencia de que nuestros sistemas hayan sido comprometidos, pero cada vez que nos damos cuenta de que una cuenta fue vulnerada, tomamos medidas para ayudar a nuestros usuarios a protegerla."

Aunque muchas de las credenciales filtradas resultan no ser de Google, los usuarios afectados aún podrían cambiar sus contraseñas en los sitios web en los que utilizan su dirección de Gmail como nombre de usuario. Un sitio web llamado isleaked.com permite a los usuarios comprobar si su dirección de correo electrónico se encuentra entre las filtradas.