Filtración de datos de E-Pal

Cuando la dirección de correo electrónico y el nombre de usuario figuran juntos en el registro de E-Pal, un atacante puede intentar vincular al usuario con distintos perfiles en plataformas de videojuegos y redes sociales. Por su parte, los registros de compras pueden utilizarse en ataques de ingeniería social para conocer cómo utiliza una persona los servicios de la plataforma, el contexto de su historial de pedidos o los tipos de servicios por los que ha pagado. Estos campos, por sí solos, no constituyen información de tarjetas de pago; sin embargo, pueden hacer más convincentes los mensajes falsos sobre reembolsos, verificación de pedidos o asistencia.

Dado que no se ha verificado una filtración de contraseñas en este registro, el riesgo de descifrado directo de credenciales es limitado. No obstante, la combinación de correo electrónico y nombre de usuario puede servir como punto de partida para intentar tomar el control de cuentas. Si el nombre de usuario se repite en distintas comunidades de videojuegos o cuentas de redes sociales, aumenta el riesgo de vinculación de perfiles. El contexto de las compras también permite al atacante preparar facturas, solicitudes de asistencia o mensajes de verificación de cuentas falsos que parezcan personalizados para el usuario.

El alcance principal verificado de este registro es de 108 887 direcciones de correo electrónico únicas. La cifra de aproximadamente 1 millón de registros de compras o pedidos corresponde al número de filas; no debe interpretarse como el número de personas únicas. Un mismo usuario puede haber realizado varias transacciones. Por tanto, al explicar el alcance al usuario, se debe distinguir entre el número de direcciones de correo únicas y el número de registros de transacciones.

Las categorías de datos verificadas son direcciones de correo electrónico, nombres de usuario y registros de compras. No deben añadirse al alcance verificado de este registro contraseñas, direcciones IP, números de teléfono, direcciones físicas, tarjetas de pago, cuentas bancarias, nombres reales, mensajes privados ni saldos de cuentas. Los datos de compras no implican que se haya filtrado información de tarjetas de pago o de cuentas bancarias. El alcance se limita a los identificadores de cuentas de usuario y al contexto de las transacciones dentro de la plataforma.

El grupo de mayor riesgo está formado por las personas que han comprado servicios en E-Pal o han creado un perfil visible con un nombre de usuario. Estos usuarios pueden recibir confirmaciones de pedidos, notificaciones de devoluciones, solicitudes de asistencia, avisos de membresía o enlaces de verificación de cuentas falsos. Al utilizar juntos la dirección de correo electrónico y el nombre de usuario, el mensaje puede parecer basado en el historial real del usuario en la plataforma.

El riesgo de vinculación de perfiles es mayor para quienes reutilizan el mismo nombre de usuario en videojuegos y comunidades sociales. Si el mismo nombre de usuario aparece en distintas plataformas, los atacantes pueden intentar deducir las preferencias de videojuegos de la persona, sus conexiones sociales o su uso de los servicios. En el caso de los usuarios registrados con una dirección de correo corporativa, el riesgo puede manifestarse mediante mensajes de phishing dirigidos que pasan de su cuenta personal de redes sociales o videojuegos a su correo de trabajo.

Si su dirección de correo electrónico aparece en un registro de E-Pal, revise con atención los mensajes sobre pedidos, devoluciones, asistencia, verificación de cuentas o campañas que reciba en su bandeja de entrada. En lugar de hacer clic en el enlace del mensaje, inicie sesión en la cuenta correspondiente directamente desde su dirección oficial. Aunque este registro no confirma una filtración de contraseñas, activar la autenticación de dos factores en otras cuentas que utilicen el mismo correo electrónico y nombre de usuario, así como revisar si reutiliza contraseñas, son precauciones adecuadas.

El contexto del historial de compras puede hacer que los mensajes falsos sobre devoluciones o verificación de pagos parezcan más convincentes. Como la información de tarjetas no forma parte de los datos verificados de este registro, en lugar de alarmarse, verifique las solicitudes de pago a través de los canales oficiales. Revise la configuración de privacidad de las cuentas de videojuegos, redes sociales y comunidades en las que utilice el mismo nombre de usuario. Reducir la visibilidad de su nombre de usuario en las cuentas que ya no utiliza o cerrar esas cuentas disminuye el riesgo.

El incidente de E-Pal demuestra que los registros de compras pueden hacer que un usuario sea vulnerable a ataques dirigidos de ingeniería social, aunque no incluyan datos de tarjetas de pago. Las plataformas no deben conservar los datos de transacciones más tiempo del necesario, deben reducir al mínimo los identificadores de usuario y deben supervisar estrictamente el acceso a los historiales de compras. El uso de alias de correo electrónico distintos para diferentes servicios sociales y de videojuegos por parte de los usuarios dificulta la vinculación de perfiles.

A largo plazo, los usuarios deben gestionar sus cuentas de videojuegos, conexiones sociales, mercados en línea y pagos con contraseñas distintas. Aunque las contraseñas no sean una categoría de datos verificada en este registro, la filtración de la dirección de correo electrónico puede aumentar los intentos de inicio de sesión dirigidos contra el usuario. La autenticación de dos factores, las contraseñas únicas, la reducción de la reutilización de nombres de usuario y el hábito de verificar los mensajes sospechosos sobre transacciones a través de canales oficiales limitan el impacto de este tipo de registros.

Si su dirección de correo electrónico aparece en este registro, no dé por hecho que se ha filtrado su tarjeta de pago o su contraseña; estos campos no forman parte del alcance verificado. Sin embargo, su dirección de correo electrónico, su nombre de usuario y el contexto de sus compras pueden figurar en un conjunto de datos. Esta combinación puede utilizarse en mensajes falsos de asistencia, reembolso, verificación de pedidos o promociones.

La medida adecuada es evitar los enlaces sospechosos, comprobar directamente sus cuentas de E-Pal y las cuentas relacionadas de redes sociales o videojuegos, revisar la configuración de privacidad de las cuentas en las que utilice el mismo nombre de usuario y activar la autenticación de dos factores en las cuentas importantes. La filtración de datos de E-Pal demuestra que incluso los registros sin contraseñas pueden generar riesgos de ingeniería social y para la privacidad de los perfiles cuando se combinan con el contexto del historial de compras.