Está vendiendo los emails de sus usuarios DynDNS?

DynDNS ofrece sevicios gratuitos de DNS dinámico, por ejemplo, si tenemos una IP dinámica podemos programar nuestro router ADSL para que la actualice en un subdominio, como, minombre.getmyip.com. De esta forma es posible acceder a nuestro equipo desde Internet aunque cambie la IP.

En 2010 activé una cuenta gratuita en DynDNS para un router Zyxel de Telefónica  y como suelo hacer siempre que creo cualquier registro en un servicio de Internet, cree un email sólo para ese propósito. El servicio funcionó perfectamente hasta que a en enero de 2012, por una portabilidad, desconecté el router. A los pocos días, al no usar el servicio, DynDNS me dijo que mi suscripción caducaría a los 30 días y hasta aquí la historia, hasta ahora.

Por supuesto, el email creado con el nombre zyxelttd@uno-de-mis-dominios.com, nunca se usó para ninguna otra cosa que activar la cuenta en DynDNS, pero el 29 de enero de 2013, de repente veo que me llega un spam con un phishing, en el que trataban de obtener mis datos de tarjeta de crédito con una falsa historia de una reserva de hotel.

Cual sería mi sorpresa al ver que el email iba dirigido a la cuenta que había usado únicamente para esta cuenta gratuita de DynDNS.

Llegados a este punto, se me ocurren cinco explicaciones:

1. Que hayan robado el email de nuestro servidor de correo: El servidor que maneja ese email tiene decenas de miles de cuentas y para que eso hubiera pasado tendríamos que haber tenido un ataque importante, aparte de las medidas de seguridad extremas que utilizamos, es casi imposible que eso hubiera pasado sin que nos diéramos cuenta.
2. Que hayan robado el email de mi ordenador: Uso Linux que tiene una muy baja incidencia de virus/troyanos/rootkits, lo que hace mucho más difícil cualquier robo de datos, pero además, mi trabajo incluye asegurar servidores y equipos de terceros, así que es muy improbable que algo así haya pasado, especialmente sin que me entere.
3. Que alguien hubiera robado el email del router ADSL: En cuanto un nuevo router cae en mis manos cambio las contraseñas por defecto por otras seguras, nada de dejar puesto admin, 1234, así que saltar las credenciales por la fuerza bruta queda descartado, y aunque existen vulnerabilidades en algunos routers, no me consta que este fuera uno de ellos. Además, mi red está monitorizada, por lo que también veo esto muy improbable, sobre todo sin que me diera cuenta.
4. Que DynDNS haya sufrido un robo de su base de datos de clientes: Aunque carezco de información acerca de este supuesto, de haber sucedido supongo que al ser un servicio tan popular se habría sabido, aunque podría ser que hubieran tenido un ataque y que no tuvieran conocimiento o lo estuvieran ocultando.
5. Que DynDNS esté cediendo de alguna forma la base de datos de usuarios: Y esta opción es la que me parece más plausible, que le han vendido o cedido esa base de datos de emails a alguien y que haya ido pasando de mano en mano, hasta que de alguna forma ha terminado en manos de algún delincuente que la está usando para enviar phishing para tratar de obtener números de tarjeta.

No puedo asegurar con total certeza que DynDNS haya sufrido un ataque o que estén cediendo o vendiendo intencionadamente sus bases de datos de emails, por eso les he enviado un email explicando lo que ha pasado y preguntando si me pueden dar alguna explicación. Hasta ahora no he recibido respuesta y no se si la voy a recibir, pero tal y como ha sucedido esto, por lo que a mi respecta no es seguro darle nuestro email a DynDNS, así que si alguien quiere crear una cuenta en DynDNS, sería recomendable que usara un email del que pudiera prescindir después.

Usar emails diferenciados o temporales para crear cuentas en servicios de Internet es una buena práctica, y es algo que nuestros servidores de correo permiten hacer con gran facilidad, en segundos se puede asignar un nuevo email a una cuenta, lo que permite usarlo inmediatamente sin tener que configurar nada más, y en caso de que ese servicio haga mal uso del email, podremos saberlo y desconectarlo fácilmente, una buena manera de controlar el spam que recibimos.