Dueling Network Filtración de datos

El elemento más crítico del registro de Dueling Network son los datos de contraseñas. Aunque las contraseñas estén almacenadas como hashes MD5, recuperarlas a partir de sus hashes puede resultar viable cuando las contraseñas son débiles o se han reutilizado. Un hash de contraseña asociado a un nombre de usuario y una dirección de correo electrónico ofrece a un atacante una base sólida para intentar acceder a otras cuentas mediante la reutilización de credenciales filtradas. En particular, si se ha utilizado la misma contraseña en una cuenta de juego, foro, correo electrónico, red social o servicio de pagos, una sola filtración de un foro antiguo puede convertirse en un problema de seguridad de las cuentas mucho más amplio.

Las direcciones IP por sí solas no constituyen una prueba concluyente de identidad. Sin embargo, al analizarlas junto con el nombre de la cuenta y el correo electrónico, pueden aportar información sobre la región desde la que se conectaba el usuario, indicios sobre su proveedor de servicios o patrones de sesiones anteriores. Los nombres de usuario también son importantes, ya que los jugadores pueden utilizar el mismo alias en distintos juegos, transmisiones en directo, foros o plataformas sociales. Estas coincidencias hacen que los mensajes de phishing dirigidos resulten más convincentes y facilitan los intentos de ingeniería social contra cuentas nuevas aprovechando el historial de las antiguas.

El alcance verificado de este registro es de 6 486 626 registros de cuentas. Esta cifra no debe interpretarse como un recuento exacto de personas únicas: puede haber varias cuentas de una misma persona, cuentas inactivas o registros duplicados, especialmente en foros antiguos. Por tanto, la descripción correcta es que se han expuesto datos de cuentas de millones de jugadores y usuarios de foros. La fecha del incidente debe situarse en el 29 de marzo de 2017; las fechas posteriores de verificación o archivo no deben presentarse como la fecha en que ocurrió la filtración.

Los campos de datos verificados son la dirección de correo electrónico, la dirección IP, el hash de contraseña y el nombre de usuario. Otros campos del registro, como el nombre completo, el número de teléfono, la dirección física, la tarjeta de pago, el historial de compras dentro del juego o el contenido de mensajes privados, no forman parte de las categorías de datos verificadas. Este límite debe quedar explícito en el texto, porque las descripciones exageradas sobre cuentas antiguas de juegos y foros pueden inducir a error al usuario. Una evaluación prudente debe centrarse en el riesgo asociado a los datos de identidad y a la vinculación entre cuentas.

El grupo de mayor riesgo está formado por quienes reutilizan la contraseña de su cuenta de Dueling Network en otros servicios. Es posible que las contraseñas utilizadas en antiguos foros de juegos se hayan reutilizado con frecuencia en el correo electrónico, las redes sociales, las plataformas de streaming, los sitios de compras u otras plataformas de juegos. En este caso, un atacante puede intentar tomar el control de cuentas probando combinaciones filtradas de correos electrónicos y nombres de usuario en distintos servicios. Aunque no se consiga recuperar la contraseña a partir de su hash, la asociación entre el nombre de usuario y el correo electrónico puede aportar contexto suficiente para crear mensajes de phishing dirigidos.

El segundo grupo de riesgo está formado por quienes han utilizado el mismo nombre de usuario en distintas comunidades durante muchos años. Cuando un alias de jugador, un nombre de usuario de foro y una dirección de correo electrónico aparecen juntos, es posible vincular los distintos perfiles en línea de una persona. Si a esta información se añade la dirección IP, los atacantes pueden intentar deducir la ubicación del usuario, sus hábitos de conexión o indicios sobre su proveedor de servicios. El riesgo es mayor para quienes se registraron con una dirección de correo corporativa, ya que una antigua cuenta de juego puede aportar un contexto aparentemente fiable a los intentos de phishing dirigidos a la cuenta de trabajo.

Si la contraseña utilizada en la cuenta de Dueling Network se ha reutilizado en cualquier otra cuenta, debe cambiarse de inmediato. La prioridad deben ser las cuentas de correo electrónico, las redes sociales, las tiendas de juegos, las cuentas vinculadas a pagos y los perfiles de foros creados con el mismo nombre de usuario. Las nuevas contraseñas deben ser únicas, largas y aleatorias; añadir simplemente un número o un símbolo al final de la contraseña antigua no debe considerarse suficiente. Un gestor de contraseñas facilita la creación de contraseñas distintas y seguras para cada servicio.

Si las cuentas admiten la verificación en dos pasos, debe activarse. La cuenta de correo electrónico requiere especial protección, porque muchos servicios envían por correo los enlaces para restablecer contraseñas. Conviene tener precaución con los enlaces de inicio de sesión, las alertas de restablecimiento de contraseña y los mensajes de verificación de cuentas que utilicen Dueling Network o antiguas cuentas de juego como pretexto. También deben revisarse las cuentas de foros antiguos registradas con la misma dirección de correo electrónico; las que ya no se utilicen deben cerrarse o, en su defecto, deben cambiarse sus contraseñas.

Este incidente demuestra que incluso las cuentas de servicios cerrados o que ya no se utilizan pueden tener consecuencias para la seguridad. Los usuarios deben revisar periódicamente sus registros antiguos, cerrar las cuentas de foros y juegos que ya no utilizan o, al menos, aislarlas mediante contraseñas únicas. Utilizar la misma dirección de correo electrónico en muchas comunidades durante años facilita la vinculación de perfiles cuando se produce una filtración. Por ello, utilizar alias de correo distintos para diferentes fines reduce el riesgo a largo plazo.

En el ámbito empresarial, debe restringirse el uso del correo de trabajo por parte de los empleados en foros personales y cuentas de juegos. Las combinaciones de nombres de usuario, correos electrónicos y hashes de contraseñas procedentes de filtraciones antiguas pueden utilizarse en intentos automatizados de acceso a los sistemas corporativos de inicio de sesión. Los equipos de seguridad deben considerar estas filtraciones no solo como registros históricos, sino también como un indicador de riesgo que permite evaluar la reutilización de contraseñas y la concienciación de los empleados. Dado que los efectos de las contraseñas almacenadas con algoritmos de hash débiles pueden persistir durante mucho tiempo, las políticas de restablecimiento de contraseñas y autenticación multifactor deben mantenerse actualizadas.

Si su dirección de correo electrónico aparece en este registro, empiece por revisar las contraseñas que utilizaba en la época en que usaba Dueling Network y cámbielas en todas las cuentas donde haya reutilizado la misma contraseña. Aunque el servicio antiguo haya cerrado, esas credenciales podrían funcionar en otras cuentas. Revise su cuenta de correo electrónico en busca de inicios de sesión desconocidos, reglas de reenvío y mensajes de restablecimiento de contraseña. Si utilizó el mismo nombre de usuario en comunidades de juegos, plataformas de streaming y foros, revise también el historial de inicio de sesión y la configuración de seguridad de esas cuentas.

La respuesta adecuada ante esta filtración es dejar de reutilizar credenciales sin caer en el pánico. Los datos filtrados no confirman la presencia de campos como tarjetas de pago o direcciones físicas; sin embargo, la combinación de correo electrónico, nombre de usuario, dirección IP y una contraseña protegida con un hash débil representa un riesgo suficientemente grave para la seguridad de las cuentas. Utilice contraseñas únicas, active la autenticación de dos factores, no haga clic en mensajes sospechosos y cierre periódicamente las cuentas antiguas que ya no utilice. Estas medidas reducen considerablemente el riesgo de que la amenaza relacionada con Dueling Network se extienda a otras cuentas.