Epic Games Filtración de datos

La dirección de correo electrónico y el nombre de usuario facilitados al registrarse en el foro de Epic Games pueden ayudar a un atacante a relacionar a una persona con juegos en línea y comunidades de desarrolladores. Los nombres de usuario de los foros suelen reutilizarse en distintas plataformas de juegos, foros de desarrolladores y cuentas de redes sociales. Por ello, incluso el acceso no autorizado a una sola cuenta de un foro puede servir como punto de partida para intentos de ataque contra otras cuentas de esa persona.

El hecho de que el campo de contraseña contuviera un hash MD5 con sal no elimina por completo el riesgo. Un hash no implica necesariamente que la contraseña se haya publicado en texto plano; sin embargo, la rapidez de MD5 permite intentar descifrar contraseñas débiles y comunes. Si el usuario empleó la misma contraseña en su correo electrónico, tienda de juegos, plataforma de desarrolladores o cuenta de redes sociales, este registro del foro podría utilizarse en intentos automatizados de inicio de sesión. Si se descubre que una contraseña se ha reutilizado, el incidente puede seguir teniendo consecuencias incluso años después.

El alcance principal verificado de este registro es de 251 661 cuentas. La fecha registrada del incidente es el 11 de agosto de 2016; su incorporación posterior a listas de filtraciones no significa que el incidente ocurriera en una fecha más reciente. Es posible que se conocieran otros incidentes relacionados con los foros de Epic Games y los registros de los foros de Unreal Engine en torno al mismo periodo; sin embargo, el alcance que debe mostrarse al usuario para este slug es el registro del foro de Epic Games, con 251 661 cuentas.

Los tipos de datos verificados son la dirección de correo electrónico, el nombre de usuario y la contraseña. La dirección IP, la fecha de nacimiento, los mensajes privados, el historial de publicaciones, el número de teléfono, los datos de tarjetas de pago y el historial de compras dentro del juego no figuran entre los campos verificados de este registro. Esta limitación es especialmente importante porque puede haber afirmaciones sobre un conjunto más amplio de campos en distintos subsistemas de foros durante el mismo periodo. En este registro solo debe describirse el riesgo asociado a las credenciales verificadas de las cuentas del foro.

El grupo de mayor riesgo lo forman quienes reutilizan la contraseña de su cuenta del foro de Epic Games en otras cuentas. Los desarrolladores de juegos, jugadores y miembros de la comunidad que abrieron una cuenta en el foro en 2016 pueden haber utilizado la misma dirección de correo electrónico en su cuenta de Epic Games, tiendas de juegos, herramientas de desarrollo u otros foros. En ese caso, un atacante podría intentar tomar el control de las cuentas o realizar ataques de phishing dirigidos probando el correo electrónico y el nombre de usuario en distintos servicios.

También existe un riesgo de vinculación de perfiles para quienes utilizan el mismo nombre de usuario en distintas comunidades de juegos. Aunque el historial del foro no sea público, el nombre de usuario puede aportar información sobre las preferencias de juego de una persona, su interés en el desarrollo o su pertenencia a una comunidad. En el caso de los desarrolladores y empleados de estudios que se registran con una dirección de correo corporativa, su antigua identidad en el foro podría utilizarse en mensajes de phishing dirigidos a su cuenta de trabajo. Por ello, conviene revisar no solo la cuenta del foro, sino también las demás cuentas asociadas.

Si su dirección de correo electrónico aparece en este registro, compruebe si la contraseña de su cuenta del foro de Epic Games se está reutilizando en otra cuenta. Si ha utilizado la misma contraseña o una similar en su correo electrónico, tiendas de juegos, plataformas de desarrolladores, redes sociales u otros foros, cámbiela de inmediato. Las nuevas contraseñas deben ser únicas, largas y aleatorias, y deben almacenarse en un gestor de contraseñas. No basta con añadir unos pocos caracteres a una contraseña antigua.

Tenga cuidado con las alertas de seguridad, los mensajes sobre recompensas, los enlaces de verificación de cuentas y las solicitudes de soporte relacionados con Epic Games o con cuentas de juegos. En lugar de hacer clic en el enlace, escriba usted mismo la dirección del sitio de su cuenta para iniciar sesión. Active la autenticación de dos factores en las cuentas que la admitan. Revise su cuenta de correo electrónico para detectar sesiones, direcciones de recuperación o reglas de reenvío que no reconozca. Cerrar o aislar las cuentas antiguas de foros que ya no utiliza también reduce el riesgo.

El incidente del foro de Epic Games demuestra que el software antiguo de foros y los foros de usuarios deben protegerse con el mismo cuidado que las cuentas de los productos principales. Las organizaciones deben mantener actualizadas las infraestructuras de foros como vBulletin, realizar pruebas periódicas para detectar riesgos de inyección SQL y adaptar los métodos de almacenamiento de contraseñas a los estándares modernos. Aunque MD5 con sal se utilizaba habitualmente en el pasado, no se considera suficiente para los sistemas actuales. Deben preferirse algoritmos de hash lentos y robustos.

Para los usuarios, la solución a largo plazo es utilizar contraseñas únicas en los foros de juegos, las cuentas de tiendas y las cuentas de correo electrónico. Utilizar el mismo nombre de usuario en todas partes facilita la vinculación de perfiles; usar nombres de usuario distintos y alias de correo electrónico para diferentes fines reduce el riesgo. Los desarrolladores y el personal de los estudios deben evitar el uso del correo de trabajo en cuentas personales de foros y revisar periódicamente sus antiguas cuentas de comunidades.

Si su dirección de correo electrónico aparece en este registro, tenga en cuenta que esto no significa que se hayan filtrado directamente los datos de su cuenta de Epic Games o su información de pago. Este registro se limita a las credenciales de las cuentas del foro. Aun así, la combinación de correo electrónico, nombre de usuario y hash MD5 de contraseña con sal supone un riesgo grave para la seguridad de la cuenta. Cambie las contraseñas de todas las cuentas en las que reutilice la misma, active la autenticación de dos factores y no actúe ante mensajes sospechosos relacionados con juegos o foros sin verificarlos antes.

Lo adecuado es considerar su antigua cuenta del foro como parte de la seguridad de su identidad digital actual. Cierre las cuentas de foros que no utiliza, emplee contraseñas únicas, proteja su cuenta de correo electrónico y evite que el uso del mismo nombre de usuario permita relacionar fácilmente sus perfiles en otras plataformas. La filtración de datos del foro de Epic Games demuestra que incluso los foros de comunidades independientes de las cuentas de los productos principales pueden tener efectos duraderos en la seguridad de los usuarios.