Filtración de datos de BlackSpigotMC

Los tipos de datos verificados en la filtración de BlackSpigotMC son información del dispositivo, direcciones de correo electrónico, géneros, ubicaciones geográficas, direcciones IP, contraseñas y nombres de usuario. La información del dispositivo puede dar pistas sobre el navegador, el sistema operativo o el entorno de conexión del usuario. Los campos de IP y ubicación geográfica pueden ayudar a deducir la región de manera aproximada. Por su parte, el nombre de usuario suele repetirse en las comunidades de videojuegos, lo que puede permitir vincular distintas cuentas con una misma persona.

Los hashes de contraseñas bcrypt ofrecen una protección mayor que las contraseñas en texto plano; sin embargo, el riesgo persiste si la contraseña es débil o se reutiliza en otros sitios. Los atacantes pueden probar la misma combinación de correo electrónico, nombre de usuario y contraseña en servidores de Minecraft, foros de videojuegos, redes sociales, cuentas de correo electrónico o cuentas de servicios de pago. El contexto del foro también puede hacer más convincentes los mensajes dirigidos: se pueden enviar al usuario mensajes falsos que se presenten como actualizaciones de plugins, verificaciones de servidores o avisos de seguridad de la cuenta.

La entrada de BlackSpigotMC en LeakData se registra a nivel de cuenta y abarca 140 029 cuentas; la fecha del incidente figura como el 14 de julio de 2019. Se ha señalado que el conjunto de datos está asociado a la infraestructura del foro basada en XenForo y que los datos del sitio han circulado dentro de un archivo más amplio. Esta entrada no significa que el sistema oficial de cuentas de Minecraft ni todos los usuarios de Minecraft se vieran afectados; el alcance se limita a los usuarios del foro BlackSpigotMC.

En este registro no se incluyen como categorías de datos verificadas las direcciones físicas, los números de teléfono, la información de pago, los mensajes privados, los nombres reales ni los documentos oficiales de identidad. Los campos verificados son información del dispositivo, correo electrónico, género, ubicación geográfica, dirección IP, contraseña y nombre de usuario. Esta limitación es importante porque el contexto del foro puede dar pie a afirmaciones de amplio alcance, pero el registro debe ceñirse a los campos verificables. Para los usuarios, los principales riesgos afectan a la seguridad de la cuenta, la vinculación de perfiles y el phishing dirigido.

El primer grupo en riesgo está formado por quienes han creado una cuenta en el foro BlackSpigotMC y han utilizado el mismo nombre de usuario en otras comunidades de Minecraft, videojuegos o tecnología. La costumbre de repetir alias en las comunidades de videojuegos puede facilitar la búsqueda de otros perfiles a partir del nombre de usuario filtrado. La información de correo electrónico e IP también puede reforzar esa vinculación. Si se utiliza la misma contraseña en otras cuentas, el riesgo se traduce directamente en intentos de tomar el control de esas cuentas.

El riesgo puede ser mayor para los administradores de servidores, los desarrolladores de plugins y los miembros activos de comunidades de videojuegos de pago. Los atacantes pueden aprovechar antiguas afiliaciones a foros para enviar mensajes falsos sobre plugins, licencias, gestión de servidores o actualizaciones de seguridad. La información del dispositivo y de la ubicación geográfica puede hacer más convincentes estos ataques dirigidos. Por ello, los usuarios cuyos datos coincidan deben vigilar no solo su cuenta del foro, sino también otras cuentas de juegos vinculadas al mismo correo electrónico o nombre de usuario.

Los usuarios que encuentren una coincidencia en la base de datos de BlackSpigotMC deben comprobar primero la contraseña que utilizan en el foro y si también la usan en otras cuentas. Si han utilizado la misma contraseña o una similar en cuentas de correo electrónico, de Minecraft, de paneles de servidores de juegos, de redes sociales, de servicios de pago o de trabajo, deben cambiarla de inmediato. Las nuevas contraseñas deben ser únicas para cada cuenta y, cuando sea posible, se debe activar la autenticación de dos factores.

Los usuarios deben tener precaución ante enlaces falsos de descarga de plugins, formularios de verificación de servidores, mensajes de actualización de seguridad y comunicaciones que incluyan antiguos nombres de usuario del foro. Que un mensaje contenga el nombre de usuario correcto o información sobre la región asociada a la IP no demuestra que sea fiable. Se debe acceder a través de direcciones conocidas en lugar de enlaces, cerrar las sesiones desconocidas y revisar las opciones de recuperación mediante el correo electrónico asociado a las cuentas de juegos.

El incidente de BlackSpigotMC demuestra que los hábitos de uso de nombres de usuario y contraseñas en los foros de videojuegos pueden tener consecuencias para la seguridad a largo plazo. Los usuarios deben utilizar una contraseña única para cada cuenta de comunidad de videojuegos o foro y, si es posible, optar por nombres de usuario distintos en cada contexto. Un gestor de contraseñas facilita la creación de contraseñas seguras y únicas. No conviene olvidarse de las cuentas antiguas de foros; si ya no se utilizan, deben cerrarse o asignárseles contraseñas únicas.

Para los administradores de foros, los campos como la información del dispositivo, la dirección IP y el perfil de usuario no deben conservarse más tiempo del necesario. El software del foro debe mantenerse actualizado y las copias de seguridad deben protegerse con restricciones de acceso estrictas. Por parte de los usuarios, evitar los archivos de plugins de fuentes no fiables, proteger las cuentas de juegos con autenticación de dos factores y procurar no vincular demasiados perfiles con el mismo nombre de usuario refuerza la protección a largo plazo.

Al realizar una consulta en LeakData sobre la filtración de datos de BlackSpigotMC, el resultado indica si la dirección de correo electrónico introducida aparece en este conjunto de datos verificado del foro. Una coincidencia indica que la dirección de correo electrónico podría haber estado incluida en un registro asociado a información del dispositivo, nombre de usuario, dirección IP, ubicación geográfica, género y un hash de contraseña bcrypt. Este resultado no significa que la cuenta oficial de Minecraft se haya filtrado directamente.

Los usuarios cuyos datos coincidan deben dejar de reutilizar contraseñas, reforzar la seguridad de sus cuentas de juegos y de correo electrónico, y verificar por una vía independiente los mensajes falsos sobre plugins o verificación de servidores. La ausencia de una coincidencia no garantiza que el usuario no figure en otros conjuntos de datos de Minecraft, videojuegos o foros; solo indica que no se encontró una coincidencia en este registro de BlackSpigotMC. Este registro se limita a los campos de datos verificados y abarca 140 029 cuentas.