Duowan.com Presunta exposición de datos

En el caso de Duowan.com, las categorías de datos que pueden verificarse son las direcciones de correo electrónico, los nombres de usuario y las contraseñas. La presencia de contraseñas en texto plano hace que esta filtración sea más peligrosa que una simple fuga de información de perfil. En los incidentes con contraseñas almacenadas como hashes, el atacante tendría que recuperar la contraseña a partir del hash, mientras que, en las filtraciones de contraseñas en texto plano, los ataques de fuerza bruta y de reutilización de contraseñas pueden llevarse a cabo de forma mucho más directa. Si el usuario utilizó la misma contraseña junto con su dirección de correo electrónico en otros servicios, esta combinación puede emplearse para probar credenciales.

Tampoco debe pasarse por alto el campo del nombre de usuario. Los alias de las comunidades de videojuegos y los foros pueden reutilizarse en distintas plataformas durante años. Cuando un atacante ve juntos el correo electrónico, el nombre de usuario y la contraseña, no solo intenta acceder a la cuenta, sino que también puede tratar de vincularla con otros perfiles en línea de la misma persona. Esto hace más convincentes los mensajes de phishing dirigidos, las alertas falsas sobre cuentas y los enlaces enviados con el pretexto de una antigua cuenta de videojuegos.

El alcance establecido de este registro es de 2 639 894 cuentas. Se considera que el incidente ocurrió en torno a 2011 y figura en el sistema con fecha del 1 de enero de 2011. En los conjuntos de datos antiguos procedentes de China, no siempre se dispone del día exacto del incidente, del método de ataque o de un comunicado oficial de la empresa. Por tanto, la descripción de Duowan.com no debe presentar un escenario técnico de ataque como definitivo; la evaluación debe ser limitada y prudente, y basarse en la existencia del conjunto de datos y en los campos que pueden verificarse.

En este registro, el nombre completo, el número de teléfono, la dirección física, la dirección IP, la tarjeta de pago, los mensajes privados, el historial de compras dentro del juego y la información del dispositivo no son categorías de datos verificadas. El número de filas puede variar en algunos archivos secundarios; sin embargo, el número principal de registros mostrado al usuario debe mantenerse en 2 639 894. El registro no debe considerarse totalmente inventado, pero, dado que la verificación completa es limitada, el texto debe emplear un lenguaje de seguridad prudente en lugar de emitir juicios definitivos.

Las personas con mayor riesgo son quienes utilizan en otros servicios la contraseña de sus cuentas de Duowan.com o de comunidades de videojuegos vinculadas. Si las cuentas de correo electrónico, redes sociales, tiendas de videojuegos, foros y plataformas de mensajería están protegidas con la misma contraseña, esta antigua filtración puede dar lugar a nuevos intentos de toma de control de las cuentas. El riesgo es mayor para quienes no han cambiado su contraseña desde aproximadamente 2011 o siguen utilizando la misma base con pequeñas modificaciones.

El segundo grupo de riesgo lo forman las personas que utilizan el mismo nombre de usuario en distintas cuentas de videojuegos y comunidades. Un nombre de usuario por sí solo puede no parecer un dato sensible, pero, combinado con un correo electrónico y una contraseña, puede permitir crear un mapa de cuentas. Para quienes se registraron con una dirección de correo corporativa, el riesgo es aún más significativo, ya que la contraseña de una antigua cuenta de videojuegos puede utilizarse en intentos automatizados de inicio de sesión o en mensajes de phishing dirigidos contra una cuenta de trabajo.

Si su dirección de correo electrónico aparece en el registro de Duowan.com, la primera medida es dejar de reutilizar contraseñas. Si utiliza en otra cuenta la contraseña de Duowan.com o una muy similar, debe cambiarla de inmediato y establecer una contraseña distinta y segura para cada servicio. La cuenta de correo electrónico debe ser prioritaria, porque los enlaces para restablecer contraseñas de muchos servicios se envían por correo y, si alguien toma el control de esa cuenta, las demás también quedan en riesgo.

Utilizar un gestor de contraseñas es la forma más práctica de evitar la reutilización de contraseñas antiguas. En las cuentas que admitan la verificación en dos pasos, debe activarse esta función. Los usuarios deben tener precaución con los enlaces que lleguen con el pretexto de antiguas cuentas de videojuegos, verificaciones de cuentas, recompensas, sanciones o alertas de seguridad. Como los registros antiguos que contienen contraseñas en texto plano pueden circular entre atacantes durante mucho tiempo, no basta con revisar únicamente la cuenta de Duowan.com: deben comprobarse todas las cuentas que utilicen la misma contraseña.

Este incidente demuestra que las cuentas antiguas de videojuegos y foros no deben olvidarse al hacer un inventario de seguridad digital. Los usuarios deben cerrar las cuentas que ya no utilizan, emplear contraseñas únicas en las que no puedan cerrar y actualizar sus direcciones de correo electrónico si es posible. Utilizar una única dirección de correo en todos los foros durante años facilita la vinculación de distintos perfiles si se produce una filtración. Los alias de correo destinados a distintos usos y las contraseñas únicas dificultan esa vinculación a largo plazo.

Para las empresas, este registro recuerda el riesgo que puede suponer que los empleados utilicen el correo de trabajo en cuentas personales. Los equipos de seguridad corporativa deben considerar incluso las filtraciones antiguas con un grado de verificación limitado como indicios de reutilización de contraseñas. En la formación de concienciación de los empleados debe explicarse el impacto duradero de las filtraciones de contraseñas en texto plano, y deben mantenerse de forma regular medidas como la autenticación multifactor y las comprobaciones de contraseñas comprometidas en los accesos corporativos.

La inclusión de una dirección de correo electrónico en este registro no demuestra por sí sola que la persona sea víctima de un ataque cuyos detalles se conocen por completo; sin embargo, es una advertencia seria de que la combinación de correo electrónico, nombre de usuario y contraseña puede haber circulado por internet. Por tanto, las medidas que debe tomar el usuario son claras: dejar de utilizar la contraseña antigua, abandonar las contraseñas similares, revisar las cuentas registradas con el mismo correo electrónico y activar la autenticación de dos factores en las cuentas importantes.

La forma adecuada de abordar la filtración de datos de Duowan.com no es añadir afirmaciones exageradas, sino actuar con rapidez ante el riesgo que puede verificarse. Los datos de tarjetas de pago, teléfonos, direcciones o mensajes privados no deben añadirse al alcance verificado de este registro. En cambio, no debe subestimarse el riesgo de las contraseñas en texto plano. Puede evitar que este antiguo registro afecte a sus cuentas actuales actualizando todas las cuentas en las que utilizó las mismas credenciales, reforzando la seguridad del correo electrónico y vigilando los inicios de sesión sospechosos.