Presunta exposición de datos de ChessHere.com

A primera vista, las plataformas de ajedrez pueden parecer sitios de entretenimiento de bajo riesgo. Sin embargo, la combinación de un nombre de usuario y una contraseña en texto plano supone un riesgo grave para la seguridad de la cuenta, independientemente de la temática de la plataforma. Si una persona ha utilizado la misma contraseña en cuentas de correo electrónico, videojuegos, redes sociales o compras, los atacantes también pueden intentar utilizarla en otros sistemas. Por tanto, el incidente de ChessHere.com no se limita a la seguridad de las cuentas de ajedrez.

Las categorías de datos comprobables de este registro son los nombres de usuario y las contraseñas. La afirmación de que las contraseñas están en texto plano es especialmente importante. Una contraseña en texto plano es una contraseña que un atacante puede utilizar directamente, sin necesidad de realizar ataques para recuperar la contraseña a partir de su hash, realizar ataques de diccionario ni llevar a cabo un análisis técnico. Por su parte, un nombre de usuario puede vincularse con las identidades que una misma persona utiliza en distintas plataformas.

Las direcciones de correo electrónico no se han añadido como categoría de datos verificada en este registro. Se trata de una limitación deliberada: solo se han incluido los campos que aparecen de forma recurrente y cuentan con un respaldo sólido, para no ofrecer al usuario una descripción incorrecta de los datos afectados. Si una persona ha utilizado en ChessHere.com el mismo nombre de usuario que en otros foros de videojuegos, redes sociales o comunidades de ajedrez, puede resultar más fácil establecer una conexión entre sus cuentas.

En los sistemas modernos, las contraseñas deben almacenarse como valores hash irreversibles. Cuando se utilizan algoritmos hash robustos y valores de sal únicos, el atacante necesita tiempo para obtener la contraseña real, incluso si se filtra la base de datos. Almacenarlas en texto plano elimina por completo esta protección. Cualquier persona que vea los datos puede leer la contraseña, copiarla y probarla en otros servicios.

Por este motivo, se ha seleccionado el nivel de gravedad Alta para el registro de ChessHere.com. Aunque las categorías de datos afectadas puedan parecer limitadas, la naturaleza de la contraseña aumenta el riesgo. En particular, es posible que los usuarios hayan reutilizado el mismo nombre de usuario y la misma contraseña durante años en antiguos sitios de videojuegos, foros y comunidades. Esto hace que una filtración de 2017 siga siendo útil como material para ataques incluso hoy.

Antes de añadir el nuevo registro, se comprobó si había duplicados entre los registros existentes mediante búsquedas de ChessHere, chesshere.com y variantes relacionadas del nombre. Como no había ningún registro de filtración previamente añadido con el mismo dominio o título, se consideró que este registro era único. Se determinó que el incidente justificaba su inclusión porque en fuentes abiertas aparecen el mismo dominio, la fecha de diciembre de 2017, aproximadamente medio millón de registros y las categorías de datos de nombres de usuario y contraseñas en texto plano.

Sin embargo, no se ha identificado ningún comunicado oficial exhaustivo del operador de la plataforma que confirme todos los detalles. Por ello, se ha mantenido un estado de verificación limitado. Esta decisión busca reflejar con precisión el grado de certeza ante el usuario. El registro se ha completado con categorías de datos verificadas e información coherente procedente de fuentes abiertas; en cambio, no se ha incluido en la descripción información no verificada sobre correos electrónicos, pagos, mensajes o perfiles.

Si la contraseña utilizada en la cuenta de ChessHere.com también se ha usado en otros servicios, lo primero que debe hacer es cambiar las contraseñas de esas cuentas. La cuenta de correo electrónico es la prioridad más importante, ya que, si resulta comprometida, el atacante puede utilizar los procesos de restablecimiento de contraseña de otras cuentas. Después, debe revisar los servicios de videojuegos, las redes sociales, los foros, los sitios de compras y las cuentas de pago.

La exposición del nombre de usuario, junto con la contraseña, crea un riesgo adicional. Un atacante puede buscar el mismo nombre de usuario en distintas plataformas, encontrar otras cuentas de la persona a la que dirige el ataque y probar la misma contraseña o variantes similares. Este riesgo de vinculación es especialmente importante porque es habitual mantener el mismo nombre de usuario en comunidades de ajedrez, videojuegos y foros.

• La contraseña utilizada en la cuenta de ChessHere.com también debe cambiarse en todos los demás servicios.
• También deben evitarse las variaciones del mismo patrón de contraseña.
• Debe activarse la verificación en dos pasos en la cuenta de correo electrónico.
• Debe generarse una contraseña única para cada servicio con un gestor de contraseñas.
• Deben revisarse las cuentas antiguas de foros y videojuegos creadas con el mismo nombre de usuario.
• Deben comprobarse las sesiones activas y las aplicaciones conectadas.
• Deben vigilarse de cerca las alertas de inicio de sesión sospechoso durante un tiempo.

En las comunidades de videojuegos y aficiones, los usuarios suelen utilizar el mismo alias durante años. Este alias puede estar asociado a redes sociales, foros, plataformas de transmisión en directo, clientes de videojuegos o la parte inicial de una dirección de correo electrónico. Cuando un nombre de usuario y una contraseña aparecen juntos en un conjunto de datos filtrados, el atacante intenta acceder no solo a esa plataforma, sino también a otras partes de la red de identidades digitales del usuario.

Por tanto, no debe subestimarse la importancia de los nombres de usuario. Incluso sin una dirección de correo electrónico, un atacante puede vincular un nombre de usuario mediante motores de búsqueda, foros, perfiles de videojuegos y redes sociales. Si se utiliza la misma contraseña en otros servicios, el nombre de usuario se convierte directamente en un dato con el que probar accesos. Los usuarios también deben evaluar la seguridad de las contraseñas de las cuentas creadas con sus antiguos alias.

El registro de ChessHere.com muestra que las plataformas comunitarias pequeñas o medianas deben aplicar los mismos estándares de seguridad de contraseñas que las grandes plataformas. Las contraseñas nunca deben almacenarse en texto plano. Los algoritmos hash robustos para contraseñas, los valores de sal únicos, la gestión segura de sesiones, la protección del panel de administración y las actualizaciones de seguridad periódicas son requisitos básicos.

Los componentes de software antiguos, los complementos de foros, los paneles de administración y los archivos de copia de seguridad son puntos de riesgo frecuentes en las plataformas comunitarias. Las copias de seguridad de las bases de datos no deben guardarse en el directorio raíz del sitio web; las cuentas de administración deben utilizar autenticación multifactor; los procesos de restablecimiento de contraseña deben quedar registrados; y deben supervisarse las exportaciones masivas sospechosas. Si se sospecha una filtración, debe forzarse el restablecimiento de las contraseñas de los usuarios.

Una filtración de diciembre de 2017 puede parecer antigua hoy; sin embargo, los hábitos relacionados con las contraseñas y los nombres de usuario perduran. Muchas personas crean una contraseña nueva añadiendo un número, un signo de exclamación o un año a su contraseña anterior. Los atacantes prueban estos patrones con herramientas automatizadas. Por ello, una contraseña antigua en texto plano todavía puede resultar útil para atacar cuentas actuales.

Además, los conjuntos de datos antiguos pueden combinarse con otros nuevos. En otra filtración puede aparecer una dirección de correo electrónico asociada al mismo nombre de usuario; en otra fuente, un número de teléfono; y en otra plataforma, un enlace a un perfil. Al combinar estas piezas, el atacante puede crear un perfil más completo de la persona a la que dirige el ataque. Los usuarios deben tener en cuenta el conjunto de sus huellas digitales, no solo cada filtración por separado.

La filtración de datos de ChessHere.com figura en un registro que, según la información publicada, está asociado a la plataforma de ajedrez en línea y afecta a aproximadamente 526 686 registros de usuarios. Las principales categorías de datos que se han señalado como expuestas son los nombres de usuario y las contraseñas en texto plano. Esta combinación aumenta el riesgo de acceso no autorizado a otras cuentas de quienes reutilizan contraseñas. No se han añadido datos de correo electrónico ni de pago a las categorías de datos, ya que no se verificaron en este registro.

El registro no se ha marcado como verificado porque no existe una confirmación oficial de primera mano. Aun así, se ha añadido para alertar a los usuarios, ya que el dominio, la fecha, el número de registros y las categorías de datos coinciden con los registros disponibles públicamente. Los usuarios de ChessHere.com deben cambiar sus contraseñas antiguas en todos los servicios, revisar las cuentas vinculadas a su nombre de usuario y activar la autenticación de dos factores siempre que sea posible.

El primer paso es recordar la contraseña utilizada en ChessHere.com y enumerar todas las cuentas que usan la misma contraseña o una similar. El segundo paso es comprobar la configuración de seguridad de la cuenta de correo electrónico. El tercer paso es empezar a utilizar un gestor de contraseñas y generar una contraseña única para cada cuenta. El cuarto paso es cerrar las sesiones de las cuentas antiguas de foros y videojuegos.

Ahora debe cerrar las cuentas que ya no utiliza o cambiar sus contraseñas por otras únicas y generadas aleatoriamente. Las cuentas antiguas olvidadas pueden convertirse en un punto débil que un atacante aproveche. Especialmente si se ha utilizado la misma combinación de nombre de usuario y contraseña, incluso las cuentas abandonadas pueden servir como vía de acceso a otras cuentas. Por ello, las plataformas antiguas dedicadas a aficiones también deben formar parte del inventario de seguridad.

Las contraseñas utilizadas en plataformas de aficiones como ChessHere.com suelen pertenecer a cuentas que el usuario considera de bajo riesgo. El problema es que esa misma contraseña de una cuenta de bajo riesgo también se prueba en servicios más críticos. Los atacantes no analizan de forma aislada los registros antiguos de ajedrez, videojuegos y foros; los combinan con direcciones de correo electrónico actuales, nombres de usuario de redes sociales y otros conjuntos de datos. Por tanto, aunque ya no utilice la cuenta antigua, debe comprobar en qué otros servicios sigue reutilizando esa contraseña.

El nombre de usuario también es una pista importante en esta cadena. Puede haber perfiles de transmisión en directo, videojuegos, foros o redes sociales creados con el mismo alias. La información pública de estos perfiles permite al atacante preparar mensajes más convincentes. Además de cambiar la contraseña, reducir la información innecesaria de los perfiles de cuentas antiguas creadas con el mismo nombre de usuario y cerrar las cuentas que ya no se utilizan ofrece una defensa más sólida.

En este registro, algunos usuarios pueden pensar que el riesgo es bajo porque no se ha verificado la dirección de correo electrónico. Sin embargo, cuando el nombre de usuario y la contraseña en texto plano aparecen juntos, pueden proporcionar material suficiente para que un atacante intente acceder a una cuenta. Especialmente si el nombre de usuario coincide con el nombre que figura al principio de la dirección de correo electrónico, o se utiliza de la misma manera en otras plataformas, encontrar la dirección de correo electrónico puede no resultar difícil. Por tanto, la evaluación del riesgo debe basarse no solo en el número de categorías de datos, sino también en que la contraseña está en texto plano y en la posibilidad de reutilizar el nombre de usuario.