BT investiga un aluvión de PIN de restablecimiento que nadie pidió
La operadora admite la avalancha de mensajes de recuperación no solicitados y asegura que las cuentas están seguras, pero no explica el origen ni cuántos clientes están afectados.
Los clientes de BT Email llevan desde el fin de semana recibiendo cientos de mensajes de restablecimiento de contraseña que no han solicitado, y la operadora todavía no sabe de dónde salen. Algunos afectados hablan de más de mil PIN en cuestión de minutos. BT sostiene que las cuentas están seguras, pero al menos un usuario afirma que perdió el acceso a la suya mientras llegaban los mensajes.
Ráfagas de decenas por minuto
Los primeros reportes aparecieron en los foros de la comunidad de BT. Un cliente describió entre 50 y 70 SMS con PIN "en cuestión de minutos". Otro dijo haber pasado de 100. Un tercero superó los 500 y un cuarto afirmó haber rebasado los 1.000. Un afectado que contactó con este medio al margen de los foros hablaba de unos 300 correos de restablecimiento en 24 horas, agrupados en ráfagas de unos 50 durante un minuto y seguidas de varias horas de silencio.
BT reconoce el problema. "Somos conscientes de que algunos clientes han recibido un gran número de mensajes con PIN de restablecimiento de contraseña y estamos investigando activamente la causa", dijo un moderador en el foro de la compañía. A quienes los estén recibiendo les pide que los ignoren y que estén atentos a mensajes o llamadas inesperadas. La operadora añade que las cuentas de correo están seguras y que no hace falta tomar ninguna medida.
Hay una excepción. Un cliente asegura que alguien entró en su cuenta durante la tormenta de PIN: perdió el acceso al correo y a su BT ID de un día para otro, y solo pudo pedir un PIN antes de que quien estaba dentro cambiara el número de teléfono asociado. Ese caso no está verificado de forma independiente y no se sabe si el asalto tiene relación con el aluvión.
Ni ataque confirmado ni fallo descartado
El origen sigue siendo una incógnita. Puede ser alguien martilleando a propósito el mecanismo de recuperación de contraseña, un fallo dentro de los sistemas de BT o cualquier otra cosa. La operadora no ha dicho cuántos clientes están afectados, si los mensajes proceden de intentos externos de reset ni si ha encontrado indicios de actividad maliciosa.
Tampoco ha detallado qué limitación de tasa aplica a las peticiones de restablecimiento, una pregunta pertinente cuando se reportan cientos de PIN en minutos, ni si el problema toca por igual al correo electrónico y al SMS. Cualquiera que monte autenticación con recuperación por PIN conoce el patrón: sin un tope por cuenta y por origen, el mecanismo se convierte en un arma para inundar a un usuario, forzarle a ignorar avisos legítimos o simplemente agotar su paciencia hasta que baje la guardia.
BT dice que investiga. Mientras tanto, hay clientes que ya reciben suficientes PIN como para montar su propia lotería.
