D3Scene Filtración de datos

Las categorías de datos verificadas son direcciones de correo electrónico, direcciones IP, nombres de usuario y contraseñas. Se ha informado de que el campo de contraseña contiene un hash MD5 con sal; esto no significa que la contraseña esté en un formato que pueda leerse directamente. Sin embargo, como MD5 es un método de hash rápido, los atacantes pueden adivinar contraseñas débiles o reutilizadas. Aunque el uso de sal dificulta algunas comparaciones masivas, no convierte las contraseñas débiles en contraseñas seguras.

Una dirección IP no revela la dirección física exacta; sin embargo, puede ofrecer indicios sobre la región aproximada, el proveedor de servicios de internet y el contexto de la sesión. Al combinarla con un nombre de usuario y una dirección de correo electrónico, se puede vincular la pertenencia a un foro con otros perfiles de videojuegos y comunidades. En los foros de videojuegos, pueden resultar más convincentes los ataques que recurren a falsos mensajes de moderadores, invitaciones privadas, herramientas para hacer trampas, enlaces de descarga de archivos, supuestas retiradas de sanciones o verificaciones de cuentas.

Este registro abarca 568 827 cuentas afectadas y la fecha del incidente consta como el 1 de enero de 2016. Aunque el registro puede aparecer posteriormente en plataformas de brechas de datos, la fecha de la brecha que se muestra al usuario corresponde al periodo del incidente al que está vinculado el conjunto de datos. Los campos de datos verificados son la dirección de correo electrónico, la dirección IP, el nombre de usuario y el hash de contraseña MD5 con sal. El alcance debe considerarse limitado a los datos de las cuentas del foro D3Scene.

En este registro no se consideran verificados los números de teléfono, las direcciones físicas, las tarjetas de pago, las cuentas bancarias, las fechas de nacimiento, los nombres reales, el contenido de los mensajes privados ni el inventario dentro del juego. La coincidencia indica que la dirección de correo electrónico correspondiente está presente en el conjunto de datos de D3Scene; no significa que las otras cuentas de videojuegos del usuario se hayan visto comprometidas directamente. Sin embargo, si se utilizaba la misma contraseña o el mismo nombre de usuario en otras plataformas, las consecuencias podrían extenderse a otras cuentas.

El mayor riesgo lo corren quienes utilizan la contraseña de su cuenta de D3Scene en otras cuentas de videojuegos, correo electrónico, Discord, Steam, foros o redes sociales. Si el mismo nombre de usuario se repite en distintas plataformas, los atacantes pueden intentar vincular esas cuentas. Por tratarse de un foro, el historial de pertenencia y el nombre de usuario también pueden suponer un riesgo para la reputación o la confianza de algunas personas.

Los usuarios jóvenes de las comunidades de videojuegos y las personas que llevan muchos años utilizando el mismo nombre de usuario corren un riesgo especial. La combinación de la dirección IP, el correo electrónico y el nombre de usuario puede hacer que los mensajes dirigidos parezcan más creíbles. El riesgo es más amplio para quienes se registran con un correo electrónico del trabajo o de una institución educativa, porque la pertenencia al foro puede asociarse con una identidad profesional. Por tanto, no debe considerarse que el riesgo se limita a la cuenta de D3Scene.

Si encuentra una coincidencia en este registro, debe cambiar la contraseña de su cuenta de D3Scene y la de todas las cuentas en las que haya utilizado la misma contraseña o una similar. Las nuevas contraseñas deben ser únicas, largas y difíciles de adivinar. Debe dar prioridad a la protección de su cuenta de correo electrónico, activar la autenticación multifactor y revisar las sesiones recientes. No debe considerar seguras las variantes de la contraseña antigua que solo incorporen pequeños cambios.

Preste atención a los mensajes inesperados sobre foros, videojuegos, descargas de archivos, avisos de moderadores, herramientas para hacer trampas, verificación de cuentas o retirada de sanciones. Compruebe el nombre de dominio y el remitente antes de abrir enlaces y archivos. No debe confiar en quien le envíe un mensaje y conozca su nombre de usuario, su antigua pertenencia al foro o el contexto de su IP. No comparta contraseñas, códigos de verificación, acceso al correo electrónico ni información de recuperación de cuentas con terceros.

El incidente de D3Scene muestra que los antiguos foros de videojuegos pueden suponer un riesgo para la seguridad de las cuentas incluso años después. Debe utilizar contraseñas únicas para sus cuentas de foros, videojuegos, chat y redes sociales. Un gestor de contraseñas facilita la identificación de las cuentas en las que se reutilizan contraseñas antiguas y la creación de contraseñas seguras. Las cuentas de foros que ya no utiliza deben cerrarse o, al menos, actualizarse con una contraseña única.

A largo plazo, también es importante evitar el uso del mismo nombre de usuario en todas las plataformas. Cuando se pueden vincular fácilmente un nombre de usuario de un foro de videojuegos, un nombre de Discord, un perfil de redes sociales y una dirección de correo electrónico, aumenta la superficie de ataque para las amenazas dirigidas. Las antiguas filtraciones de foros vBulletin, aunque no permitan acceder directamente a sistemas modernos, pueden afectar a las cuentas actuales debido a la reutilización de contraseñas. Por tanto, las filtraciones antiguas no deben considerarse de baja prioridad.

Una coincidencia en este registro indica que la dirección de correo electrónico correspondiente figuraba entre las cuentas observadas en la brecha de datos de D3Scene de enero de 2016. La coincidencia no significa que el incidente haya ocurrido en el año actual; en este registro, el incidente está fechado en 2016. El alcance verificado se limita a la dirección de correo electrónico, la dirección IP, el nombre de usuario y el hash de contraseña MD5 con sal.

En primer lugar, debe cambiar las contraseñas de todas las cuentas en las que utiliza la misma contraseña, activar una verificación adicional en su cuenta de correo electrónico y revisar sus cuentas en comunidades de videojuegos. Si también utiliza el mismo nombre de usuario en Discord, Steam, foros o cuentas de redes sociales, debe asumir que esos perfiles pueden vincularse. Aunque un hash MD5 con sal no es una contraseña que pueda leerse directamente, las contraseñas débiles o reutilizadas pueden suponer un riesgo a largo plazo para la seguridad de las cuentas.