Filtración de datos de EpicBot

La combinación de la dirección de correo electrónico, el nombre de usuario y la dirección IP registrados en EpicBot puede utilizarse para vincular perfiles de comunidades de videojuegos. Los usuarios de bots para RuneScape pueden haber reutilizado el mismo nombre de usuario en foros de juegos, paneles de bots, servidores de chat o cuentas de redes sociales. Esto ayuda al atacante a identificar a la persona en distintas plataformas y a preparar mensajes dirigidos específicamente a ella.

Los hashes de contraseñas son uno de los elementos más críticos. MD5 con sal y bcrypt no ofrecen el mismo nivel de seguridad: bcrypt se considera más lento y resistente, mientras que MD5 con sal es más fácil de atacar. Es posible que el usuario no pueda ver qué método de hash se utilizó para cada registro del conjunto de datos. Por tanto, una medida segura es asegurarse de que la contraseña utilizada para la cuenta de EpicBot no se use en ninguna otra cuenta. Si se utiliza la misma contraseña, podrían estar en riesgo las cuentas de juegos, correo electrónico, redes sociales y las vinculadas a pagos.

El alcance principal verificado de este registro es de 816 662 cuentas. La fecha del incidente figura como el 1 de septiembre de 2019; la circulación posterior de los datos o su incorporación a listas de filtraciones no significa que la filtración ocurriera en una fecha más reciente. La fecha que se muestra al usuario es la de la filtración asociada al incidente. Esta distinción evita interpretaciones erróneas cuando aparecen distintas fechas de incorporación en la pantalla Seguridad de la cuenta.

Las categorías de datos verificadas son correo electrónico, dirección IP, contraseña y nombre de usuario. El número de teléfono, la dirección física, la tarjeta de pago, el nombre y los apellidos reales, el inventario de la cuenta del juego, el saldo de moneda del juego y el contenido de los mensajes privados no forman parte de los campos verificados de este registro. Que EpicBot sea un proveedor de bots para RuneScape no debe dar a entender que se hayan filtrado directamente el contenido de la cuenta del juego del usuario o su cuenta principal del juego. La descripción correcta debe centrarse en el riesgo para la cuenta del servicio de bots y sus credenciales.

El grupo de mayor riesgo lo forman los usuarios que reutilizan en otras cuentas la contraseña de su cuenta de EpicBot. Los usuarios con actividad técnica en comunidades de bots para juegos pueden haber utilizado la misma dirección de correo electrónico en foros de juegos, herramientas para desarrolladores, monederos de criptomonedas o servicios de acceso remoto. En ese caso, una filtración de una antigua cuenta de bots puede facilitar intentos de utilizar esas credenciales en otras cuentas.

Las personas que utilizan el mismo nombre de usuario en distintas comunidades de videojuegos corren el riesgo de que se vinculen sus perfiles. El campo de dirección IP también puede permitir deducciones limitadas sobre la región desde la que se realiza la conexión o el proveedor de servicios. Por utilizar un servicio de bots, el usuario puede recibir mensajes dirigidos a él con temas como falsas advertencias de suspensión de cuentas, notificaciones de seguridad de la cuenta, mensajes de recuperación de activos del juego o enlaces de renovación de licencias de bots. Estos mensajes pueden parecer más convincentes si se apoyan en el contexto de un incidente real.

Si su dirección de correo electrónico aparece en el registro de EpicBot, compruebe de inmediato si está reutilizando en otras cuentas la contraseña que utilizó para esta cuenta. Si ha utilizado la misma contraseña o una similar en cuentas de correo electrónico, juegos, foros, redes sociales, monederos o pagos, cámbiela de inmediato. Las nuevas contraseñas deben ser únicas, largas y aleatorias, y deben guardarse en un gestor de contraseñas. No basta con añadir un número al final de la contraseña anterior.

Actúe con cautela ante los mensajes de seguridad relacionados con juegos y bots. Los mensajes sobre suspensiones de cuentas, licencias de bots, activos del juego, suscripciones gratuitas o verificaciones urgentes de contraseñas pueden ser falsos. En lugar de hacer clic en el enlace, acceda directamente al servicio correspondiente desde su dirección oficial. Active la autenticación de dos factores en las cuentas que la admitan. Compruebe si hay sesiones, reglas de reenvío o direcciones de recuperación desconocidas en su cuenta de correo electrónico.

El incidente de EpicBot muestra que las cuentas de bots para juegos y de comunidades especializadas deben gestionarse con el mismo cuidado que las cuentas principales de correo electrónico y de juegos. Los usuarios deben utilizar contraseñas distintas para sus cuentas de bots, foros y comunidades de videojuegos y, si es posible, optar por alias de correo electrónico diferentes. Utilizar el mismo nombre de usuario en todas partes aumenta el riesgo de que se vinculen los perfiles; emplear nombres de usuario distintos para diferentes fines dificulta esa vinculación.

Para la plataforma, la lección a largo plazo es mantener los métodos de almacenamiento de contraseñas al día con los estándares vigentes. Bcrypt puede ser una opción robusta si se configura correctamente; MD5 con sal ya no debe considerarse suficiente. Los datos de cuentas antiguas no deben conservarse sin necesidad, deben supervisarse los accesos a las bases de datos y el software de los foros o paneles debe actualizarse con regularidad. Para el usuario, dejar de reutilizar contraseñas evita que el riesgo de estos registros antiguos se extienda a otras cuentas.

Si su dirección de correo electrónico aparece en este registro, no concluya que su contraseña se haya publicado con certeza en texto plano; aun así, utilizar la misma contraseña en otros servicios no es seguro debido al riesgo asociado a los hashes MD5 con sal o bcrypt. La combinación de correo electrónico, nombre de usuario y dirección IP puede utilizarse para vincular sus perfiles en comunidades de videojuegos y enviarle mensajes dirigidos específicamente a usted. Por tanto, evite reutilizar contraseñas, active la autenticación de dos factores en las cuentas importantes y no haga clic en enlaces sospechosos.

Lo adecuado es no restar importancia a una cuenta de un servicio de bots por tratarse de un registro antiguo. Revise sus cuentas de juegos, su cuenta de correo electrónico y las cuentas de foros creadas con el mismo nombre de usuario. Cierre las cuentas que no utilice, use contraseñas únicas y no responda a mensajes amenazantes relacionados con bots o juegos sin verificarlos a través de un canal oficial. La filtración de datos de EpicBot muestra que incluso las cuentas de herramientas especializadas para videojuegos pueden plantear riesgos a largo plazo para las credenciales y la privacidad de los perfiles.