Dungeons & Dragons Online Filtración de datos

Los tipos de datos verificados son fechas de nacimiento, direcciones de correo electrónico, direcciones IP, nombres de usuario, actividad en el sitio web y hashes de contraseñas. La combinación del correo electrónico y el nombre de usuario puede facilitar la vinculación de una persona con otros foros de juegos, plataformas sociales o cuentas de comunidades. Las fechas de nacimiento pueden utilizarse en mensajes de ingeniería social relacionados con la recuperación de cuentas o la verificación de edad. Las direcciones IP pueden aportar información aproximada sobre la red y la ubicación. La actividad en el sitio web puede ofrecer más contexto sobre cómo interactúa el usuario con el sitio.

Los hashes de contraseñas no son contraseñas en texto sin formato; sin embargo, no puede considerarse que el riesgo sea nulo cuando se desconocen el tipo de hash y la fortaleza de la contraseña. Las contraseñas débiles o reutilizadas pueden seguir utilizándose en listas para intentos automatizados incluso años después. Las cuentas de juegos pueden ser un objetivo especialmente atractivo porque los jugadores pueden reutilizar el mismo nombre de usuario en foros, clientes de juegos, plataformas de chat y redes sociales. Por ello, la filtración de datos de Dungeons & Dragons Online no solo es relevante como registro de un juego antiguo, sino también por la cadena de reutilización de nombres de usuario y contraseñas.

La fecha verificada del incidente figura como el 2 de abril de 2013. El registro se añadió a las listas de filtraciones verificadas el 12 de marzo de 2016. El número de cuentas afectadas se mantiene en 1 580 933; algunas descripciones pueden hablar de aproximadamente 1,6 millones de cuentas de jugadores. Esta página se basa en el número total de registros utilizados en la consulta. El alcance comprende los datos de cuentas y del sitio web asociados a Dungeons & Dragons Online; no debe confundirse con la marca en su conjunto, el producto de rol de mesa ni otros servicios de juegos.

No deben darse por cerrados los límites del alcance. En este registro, las tarjetas de pago, las cuentas bancarias, los documentos oficiales de identidad, las direcciones físicas, los números de teléfono, los inventarios de objetos del juego y el contenido de chats privados no son categorías de datos verificadas. El campo de contraseña también debe entenderse como un hash de contraseña, no como una contraseña en texto sin formato. La actividad en el sitio web se refiere a las acciones del usuario relacionadas con el sitio; no debe suponerse que existe el mismo nivel de detalle para cada usuario. La descripción de los riesgos debe limitarse a estos campos verificados.

El grupo de mayor riesgo está formado por los jugadores que tenían una cuenta de Dungeons & Dragons Online o una cuenta web relacionada antes de 2013. Es más fácil elaborar perfiles de quienes utilizan el mismo nombre de usuario en los foros de DDO, otras comunidades de juegos, aplicaciones de chat o redes sociales. La fecha de nacimiento y el correo electrónico pueden utilizarse en mensajes falsos de recuperación de cuentas o avisos sobre cuentas antiguas del juego. La dirección IP también puede ayudar a personalizar el mensaje según la ubicación.

Los jugadores que reutilizan la misma contraseña en distintos servicios también están en riesgo. Aunque la contraseña antigua de DDO siga en una cuenta que hoy no parece activa, esa misma contraseña puede continuar utilizándose en cuentas de correo electrónico, tiendas de juegos, otras cuentas de MMO o foros. A veces, las cuentas de juegos quedan olvidadas durante mucho tiempo; sin embargo, sus listas de amigos, historial de juego, reputación del nombre de usuario y correo electrónico vinculado pueden hacerlas valiosas para los atacantes. Por este motivo, conviene revisar las contraseñas antiguas de juegos junto con las de las cuentas activas.

Si la contraseña antigua utilizada para Dungeons & Dragons Online sigue vigente en cualquier otra cuenta, debe cambiarse de inmediato. Si ha utilizado la misma contraseña o una similar en cuentas de correo electrónico, tiendas de juegos, redes sociales, foros o servicios de mensajería, asigne una contraseña única a cada una. Proteja la cuenta principal de correo electrónico con autenticación de dos factores. Si puede acceder a la cuenta antigua del juego, revise el correo electrónico vinculado, la configuración de recuperación y el historial de sesiones.

Preste atención a los mensajes relacionados con la verificación de cuentas del juego, personajes antiguos, suspensión de cuentas, objetos gratuitos, sesiones sospechosas o restablecimiento de contraseñas. Aunque el mensaje incluya correctamente el nombre de usuario, la fecha de nacimiento o detalles del juego antiguo, no debe considerarse fiable. En lugar de hacer clic en el enlace, acceda directamente a la dirección del servicio correspondiente. En este caso, como no se verificó la presencia de información de pago, conviene centrarse en completar el restablecimiento de la contraseña, proteger la cuenta de correo electrónico y revisar las cuentas de comunidades de juegos, en lugar de alarmarse por posibles consecuencias financieras.

A largo plazo, las cuentas de juegos, las cuentas de foros y la cuenta principal de correo electrónico deben protegerse con contraseñas distintas. Utilizar un gestor de contraseñas evita que las contraseñas antiguas de juegos sigan usándose en otras cuentas. Repetir el mismo nombre de usuario en todas las plataformas aumenta el riesgo de que se vinculen los perfiles; para las cuentas importantes, conviene optar por nombres de usuario distintos y mecanismos de verificación sólidos. Las cuentas de juegos y foros que ya no se utilizan deben cerrarse o, al menos, actualizarse con contraseñas seguras.

Para los administradores de plataformas, este incidente demuestra que las cuentas de las comunidades de jugadores no deben considerarse meras cuentas de entretenimiento. Los campos como la fecha de nacimiento, la dirección IP, el nombre de usuario y la actividad en el sitio deben protegerse como datos personales. Los hashes de contraseñas deben almacenarse mediante métodos sólidos, los sistemas antiguos de foros y cuentas deben mantenerse actualizados, el acceso a los datos de los usuarios debe restringirse y los movimientos inusuales de datos deben supervisarse. Aunque las cuentas de juegos parezcan poco importantes, la reutilización de contraseñas puede afectar a otras cuentas del usuario.

Si encuentra una coincidencia en este registro, su cuenta podría estar entre los 1 580 933 registros asociados a la filtración de datos de Dungeons & Dragons Online. Una coincidencia no significa que se hayan filtrado su información de pago, sus objetos del juego o sus chats privados. Los campos verificados son la fecha de nacimiento, el correo electrónico, la dirección IP, el nombre de usuario, la actividad en el sitio y el hash de contraseña. El primer paso es identificar en qué otros lugares ha reutilizado la contraseña que usaba para DDO alrededor de 2013.

Si su contraseña antigua de DDO sigue utilizándose en otras cuentas, cámbiela. Active la verificación en dos pasos en su cuenta de correo electrónico, actualice la información de recuperación de sus cuentas de juegos y tenga precaución con los mensajes personalizados enviados desde el mismo nombre de usuario. La forma adecuada de abordar la filtración de datos de Dungeons & Dragons Online no es exagerar el incidente presentándolo como una filtración completa del inventario del juego o de datos de pago, sino reducir los riesgos derivados de reutilizar contraseñas antiguas y proteger las cuentas de comunidades de juegos, basándose en los campos de cuenta verificados.