Filtración de datos de CraftRise

Los tipos de datos verificados son direcciones de correo electrónico, información de ubicación geográfica, contraseñas y nombres de usuario. La dirección de correo electrónico puede utilizarse para relacionar la cuenta con otras cuentas del usuario. El nombre de usuario puede vincular los perfiles de una persona en distintas plataformas, especialmente si se reutiliza en entornos de juego como Minecraft, Discord, foros y redes sociales. La información de ubicación geográfica no proporciona una dirección física completa; sin embargo, puede ayudar a que los mensajes dirigidos a una persona resulten más convincentes al incorporar referencias aproximadas a su país, región o ciudad.

Las contraseñas en texto plano hacen que este registro sea de alto riesgo. Si la contraseña se utiliza de forma idéntica o similar en otros servicios, los atacantes pueden intentar iniciar sesión de manera automatizada. Las cuentas de videojuegos pueden convertirse en objetivos por el valor de su inventario, su rango dentro del juego, su lista de amigos, su reputación en el servidor o las cuentas de comunidades vinculadas. Además, el nombre de usuario y la información de ubicación geográfica pueden utilizarse para enviar mensajes falsos de administradores del juego, ofertas de objetos gratuitos, promesas de levantar bloqueos o enlaces de verificación de cuentas.

Este registro abarca 2 532 527 cuentas afectadas y mantiene el 5 de marzo de 2022 como fecha del incidente. Aunque los avisos públicos aparecieron en mayo de 2023, los indicios más recientes sobre los datos que constan en los registros apuntan a marzo de 2022. Esta distinción es importante: la fecha de la filtración que se muestra al usuario representa el periodo en que se obtuvieron los datos, mientras que la fecha en que la comunicación o el conjunto de datos empezó a circular ampliamente puede ser posterior.

Los campos de datos verificados son la dirección de correo electrónico, el nombre de usuario, la ubicación geográfica y la contraseña en texto plano. En este registro, el número de teléfono, la dirección física, la tarjeta de pago, la cuenta bancaria, el número de identificación oficial, el contenido de mensajes privados y el nombre real no se clasifican como datos verificados. Este registro, por sí solo, no permite establecer ninguna nueva conclusión técnica sobre los archivos de juego del cliente de CraftRise ni sobre la seguridad actual del servicio; debe evaluarse a partir del conjunto de datos de usuarios fechado en marzo de 2022.

Las personas con mayor riesgo son aquellas que también utilizan la contraseña de su cuenta de CraftRise en otros juegos o en cuentas de correo electrónico, Discord, redes sociales, foros o compras. Si se ha utilizado el mismo nombre de usuario en distintas plataformas, los atacantes pueden establecer una conexión entre las cuentas. Por el contexto de Minecraft y de la comunidad de videojuegos, los mensajes dirigidos a estos usuarios pueden tratar sobre recompensas dentro del juego, privilegios en el servidor, levantamiento de bloqueos, objetos cosméticos gratuitos o verificación de cuentas.

El riesgo también requiere especial atención en el caso de jugadores jóvenes y de usuarios que se registran con una dirección de correo electrónico familiar. En las cuentas creadas con el correo de uno de los padres, reutilizar contraseñas también puede perjudicar a la cuenta familiar. Los usuarios cuyos datos de geolocalización están expuestos pueden recibir mensajes fraudulentos redactados en el idioma local y adaptados a su región. Aunque la cuenta del juego parezca poco importante, si se utiliza la misma contraseña en otras cuentas críticas, el impacto puede ser mucho mayor.

Si encuentra una coincidencia en este registro, debe cambiar de inmediato la contraseña de su cuenta de CraftRise y la de todas las cuentas en las que utilice una contraseña idéntica o similar. Las nuevas contraseñas deben ser únicas, largas y difíciles de adivinar. Debe dar prioridad a proteger la cuenta de correo electrónico, activar la autenticación multifactor y revisar las sesiones recientes. Tampoco debe considerar seguras las variantes de la contraseña anterior a las que se hayan añadido números, años o caracteres especiales.

Debe examinar con cuidado los mensajes recibidos dentro del juego o por correo electrónico sobre verificación de cuentas, obtención de recompensas, levantamiento de bloqueos, solicitudes para ser administrador o moderador, actualizaciones del servidor o descargas del cliente. Antes de abrir cualquier enlace, compruebe el nombre de dominio y, si va a realizar una transacción, acceda directamente a la dirección oficial que ya conoce. Una persona que le envíe un mensaje y conozca su nombre de usuario y datos anteriores del juego no es de fiar. Nunca comparta contraseñas, códigos de verificación, acceso al correo electrónico ni información de recuperación de cuentas con terceros.

El incidente de CraftRise demuestra que las cuentas de videojuegos también pueden suponer un riesgo grave para la seguridad de las cuentas. Los usuarios deben utilizar una contraseña única para cada cuenta de plataformas de videojuegos, foros, redes sociales y correo electrónico. Un gestor de contraseñas facilita la creación de contraseñas seguras y permite llevar un control de qué contraseña se utiliza en cada cuenta. Las cuentas antiguas de videojuegos que ya no se utilicen deben cerrarse o, al menos, protegerse con una contraseña única y una cuenta de correo electrónico segura.

A largo plazo, también es importante evitar el uso del mismo nombre de usuario en todas las plataformas. Mantener el mismo nombre de usuario en juegos, Discord, foros y redes sociales facilita la vinculación de cuentas y puede reforzar los ataques dirigidos. En el caso de los usuarios jóvenes, los padres deben establecer reglas básicas de seguridad: no compartir cuentas, no confiar en promesas de objetos gratuitos, no descargar archivos de clientes desconocidos y no compartir códigos de verificación con nadie. Las filtraciones antiguas de juegos pueden utilizarse en intentos de acceso con contraseñas incluso años después.

Una coincidencia en este registro indica que la dirección de correo electrónico correspondiente figura entre las cuentas observadas en la filtración de datos de CraftRise. Una coincidencia no indica que estos datos sean de 2025; la fecha del incidente en este registro es marzo de 2022, y tanto la comunicación como el conjunto de datos alcanzaron una amplia difusión más tarde. El alcance verificado se limita a la dirección de correo electrónico, el nombre de usuario, la ubicación geográfica y la contraseña en texto plano.

En primer lugar, debe cambiar la contraseña de todas las cuentas en las que haya utilizado la misma, activar una verificación adicional en la cuenta de correo electrónico y revisar las cuentas de comunidades de videojuegos. Si ha utilizado el mismo nombre de usuario o la misma contraseña en cuentas de Discord, Minecraft, foros y redes sociales, también debe incluirlas en la evaluación del riesgo. Dado que el registro de CraftRise contiene una contraseña en texto plano, exige sustituir con urgencia las contraseñas afectadas y comprobar la seguridad de las cuentas, aunque se trate de un registro antiguo.