Filtración de datos de Chess

Cuando el nombre de usuario, el nombre y la dirección de correo electrónico aparecen juntos, es posible vincular un perfil de Chess.com con una persona real. Por su parte, la información de ubicación geográfica puede indicar el país o la ciudad del jugador. Estos campos no permiten por sí solos tomar el control de una cuenta; sin embargo, pueden hacer más convincentes los mensajes falsos sobre torneos, membresías, cuentas prémium, solicitudes de amistad o alertas de seguridad.

Cuando se combinan campos como el nombre, el correo electrónico, el teléfono o la dirección, los atacantes pueden dirigirse al usuario como si existiera una relación legítima de prestación de servicios. Esta información por sí sola no demuestra que se haya tomado el control de una cuenta; sin embargo, ofrece una base sólida para crear mensajes falsos de soporte, notificaciones de entrega, intentos de restablecimiento de contraseña y esquemas de fraude personalizados. Dado que el registro no contiene un campo de contraseña, no debe indicarse al usuario que su contraseña se ha filtrado. No obstante, si la misma dirección de correo electrónico aparece junto con una contraseña en otras filtraciones, los atacantes pueden preparar mensajes más personalizados utilizando el perfil de Chess. El contexto de la comunidad de jugadores aumenta el riesgo de ingeniería social.

La fecha del incidente figura como el 8 de noviembre de 2023. El alcance actual es de 1 274 077 direcciones de correo electrónico afectadas; la cifra anterior de 827 620 se ha actualizado con registros adicionales. Los registros de seguridad indican que los datos se obtuvieron mediante un método de recopilación automatizada a través de Chess.com e incluyen campos de correo electrónico, nombre, nombre de usuario y ubicación.

Al explicar el alcance, debe dejarse claro que este incidente no constituye una filtración de contraseñas ni de información de pago. Además, los datos de perfiles recopilados automáticamente no siempre tienen la misma calidad en sus campos. La advertencia adecuada para el usuario es que su cuenta puede vincularse con su identidad en la comunidad de jugadores y que aumenta el riesgo de recibir mensajes dirigidos específicamente a él.

Los usuarios en riesgo son quienes tienen una cuenta de Chess.com, incluyen su nombre de usuario y su nombre en el perfil, comparten información de ubicación o abren cuentas en otras plataformas de juegos con la misma dirección de correo electrónico. Los jugadores que compiten, los miembros de clubes y los participantes en torneos pueden ser objeto de mensajes de invitación falsos.

Las personas que utilizan el mismo nombre de usuario en distintos juegos, redes sociales o foros corren el riesgo de que se vinculen sus perfiles entre plataformas. La información de ubicación puede hacer que los mensajes relacionados con torneos, clubes o eventos locales parezcan más auténticos. Los usuarios deben tener precaución con los mensajes que contengan advertencias sobre la seguridad de la cuenta o promesas de recompensas.

Los usuarios cuyos datos coincidan con los del registro deben comprobar que utilizan una contraseña única en su cuenta de Chess.com y revisar también la configuración de seguridad de otras plataformas de juegos en las que utilicen el mismo correo electrónico y nombre de usuario. Aunque el registro no contenga una contraseña, dejar de reutilizar contraseñas es una precaución adecuada.

En lugar de abrir directamente los enlaces recibidos, el usuario debe iniciar sesión desde la dirección web o la aplicación conocida del servicio correspondiente. Que la persona que llama conozca el nombre, el correo electrónico, la dirección o la información sobre transacciones anteriores no demuestra que sea de confianza. No deben compartirse códigos de verificación de un solo uso, datos de tarjetas de pago ni contraseñas de cuentas en ninguna conversación de soporte.

A largo plazo, el uso de un gestor de contraseñas, contraseñas únicas, autenticación de dos factores en las cuentas que la permitan y el hábito de eliminar información personal innecesaria de las cuentas reducen el riesgo. Reutilizar la misma dirección de correo electrónico en distintas plataformas facilita la combinación de datos de diferentes filtraciones; por ello, puede considerarse el uso de direcciones de correo electrónico o alias distintos para las cuentas críticas.

Dado que un nombre de usuario puede convertirse en una identidad permanente en las comunidades de jugadores, conviene valorar cuidadosamente el uso del mismo nombre de usuario en distintas plataformas. Si el perfil contiene información innecesaria sobre el nombre real o la ubicación, debe reducirse, y los mensajes sobre clubes y torneos deben verificarse desde la plataforma oficial.

La comprobación de LeakData muestra si la dirección de correo electrónico consultada aparece o no en este registro. Un resultado positivo no significa necesariamente que todos los campos de datos pertenezcan con certeza a ese usuario; sin embargo, debe considerarse una advertencia suficiente para tomar precauciones. Un resultado negativo solo indica que no hay coincidencias en este conjunto de datos y no descarta la posibilidad de aparecer en otras filtraciones.

Un resultado positivo indica que la información del perfil de Chess.com coincide con la dirección de correo electrónico y aumenta el riesgo de phishing relacionado con los juegos. Un resultado negativo significa que no hay coincidencias en este registro; también debe comprobarse la posibilidad de que el mismo correo electrónico del jugador aparezca en otras plataformas de juegos.