Troy Hunt lleva años alertándonos de los peligros de que nos roben las contraseñas. Pasaba tan a menudo que acabó convirtiendo esas advertencias en un proyecto que se ha vuelto un referente: Have I Been Pwned. Y a pesar de todo lo que sabe, acaba de caer en un robo de credenciales con el método más común de todos: un correo de phishing.

Le puede pasar a cualquiera. Hunt contaba en su blog cómo cayó en una trampa muy bien elaborada: un correo electrónico de phishing que simulaba provenir de Mailchimp, la plataforma que usa para distribuir su newsletter. En el aviso se le informaba de que había recibido una queja de spam y que sus privilegios de envío en el servicio se verían limitados. Para resolverlo, eso sí, podía hacer clic en un botón con un enlace.


¿Por qué ese phishing funcionó? Como explicaba este experto, "he recibido una tonelada de mensajes similares que permanentemente he identificado rápidamente", pero hubo un factor crítico que jugó en su contra: el momento en el que lo recibió y lo leyó. Hunt tenía jet lag y estaba muy cansado cuando recibió el mensaje, y no pensó suficientemente rápido en que algo no estaba bien.

Indicios difíciles de identificar. Tras hacer clic en el enlace, Hunt además notó cómo su gestor de contraseñas no autocompletó los detalles de su cuenta (cliente y contraseñas, normalmente).