EpicNPC Filtración de datos

La dirección de correo electrónico y el nombre de usuario presentes en el registro de EpicNPC pueden utilizarse para vincular los perfiles de personas que compran y venden cuentas de videojuegos en distintas plataformas. El usuario puede haber utilizado el mismo alias en foros de videojuegos, cuentas de plataformas de compraventa, perfiles de redes sociales o servidores de mensajería. La dirección IP también puede permitir deducir, de forma limitada, la región desde la que se conecta o su proveedor de servicios. Utilizados conjuntamente, estos campos hacen que los mensajes dirigidos a una persona concreta resulten más convincentes.

El hecho de que los datos de las contraseñas estén en forma de hashes MD5 con sal no significa que todas las contraseñas hayan quedado expuestas en texto sin cifrar; sin embargo, debido a la rapidez de MD5, el riesgo es elevado para las contraseñas débiles. Si se utiliza la misma contraseña en el correo electrónico, las cuentas de videojuegos, las redes sociales, las plataformas de compraventa o las cuentas vinculadas a pagos, los atacantes pueden intentar usar esa combinación en otros servicios. En el contexto de la compraventa de cuentas de videojuegos, los mensajes sobre servicios de intermediación falsos, recuperación de cuentas o disputas sobre pagos también suponen riesgos adicionales.

El alcance principal verificado de este registro es de 408 795 cuentas. La fecha del incidente consta como el 2 de enero de 2016; que el registro se añadiera a sistemas de consulta de filtraciones años después no significa que la filtración ocurriera en una fecha más reciente. La fecha que debe mostrarse al usuario es la del incidente de 2016 asociado al conjunto de datos. Esta distinción entre fechas evita que las filtraciones antiguas que aparecen en la pantalla Seguridad de la cuenta se interpreten erróneamente como incidentes actuales.

Las categorías de datos verificadas son correo electrónico, dirección IP, contraseña y nombre de usuario. El número de teléfono, la dirección física, los datos de tarjetas de pago, la información bancaria, los mensajes privados, el historial de compraventa, el inventario de las cuentas de videojuegos y el saldo de moneda del juego no figuran entre los campos verificados de este registro. El carácter de plataforma de compraventa de EpicNPC no permite suponer que los usuarios hayan sufrido pérdidas económicas o de activos dentro de los juegos. Una descripción precisa debe centrarse en las credenciales de las cuentas y en el riesgo de vinculación de perfiles.

El grupo de mayor riesgo lo forman los usuarios que reutilizan la contraseña de su cuenta de EpicNPC en otras cuentas. Quienes compran y venden cuentas de videojuegos pueden haber utilizado la misma dirección de correo electrónico en tiendas de videojuegos, plataformas de compraventa, foros, plataformas de mensajería o servicios de pago. En ese caso, una filtración antigua de un foro podría utilizarse en intentos de acceso a cuentas de videojuegos más valiosas o a la cuenta principal de correo electrónico.

El riesgo de vinculación de perfiles también es elevado para quienes utilizan el mismo nombre de usuario en distintas comunidades de videojuegos. Un atacante puede intentar deducir con qué juegos comercia el usuario o cuál es su historial en plataformas de compraventa, y enviar mensajes falsos relacionados con intermediarios, seguridad de las cuentas, disputas entre compradores y vendedores o verificación de pagos. Para los usuarios registrados con una dirección de correo corporativa, el riesgo puede manifestarse como mensajes de phishing dirigidos a una cuenta empresarial a partir de una cuenta personal de compraventa de videojuegos.

Si su dirección de correo electrónico aparece en el registro de EpicNPC, el primer paso es comprobar si ha reutilizado la contraseña de esa cuenta en otras cuentas. Si ha utilizado la misma contraseña o una similar en cuentas de correo electrónico, tiendas de videojuegos, redes sociales, plataformas de compraventa, mensajería o cuentas vinculadas a pagos, cámbiela de inmediato. Las contraseñas nuevas deben ser únicas, largas y aleatorias, y deben almacenarse en un gestor de contraseñas.

Preste especial atención a los mensajes relacionados con la compraventa de cuentas de videojuegos. Los mensajes sobre servicios de intermediación falsos, recuperación de cuentas, disputas sobre ventas, bloqueos de cuentas, verificación de pagos o enlaces para operaciones seguras pueden tener como objetivo el phishing. En lugar de hacer clic en el enlace, acceda a la cuenta correspondiente directamente desde su dirección oficial. Active la autenticación de dos factores en las cuentas que la admitan y compruebe si hay sesiones desconocidas en su cuenta de correo electrónico.

El incidente de EpicNPC demuestra que las cuentas de foros y plataformas de compraventa de videojuegos deben mantenerse separadas de la cuenta principal de correo electrónico y de las cuentas de videojuegos. Los usuarios deben utilizar contraseñas distintas para las cuentas de compraventa, los foros, las tiendas de videojuegos y el correo personal. Utilizar el mismo nombre de usuario en todas partes facilita la vinculación de perfiles; emplear nombres de usuario distintos y alias de correo electrónico para diferentes fines reduce el riesgo.

Por parte de la plataforma, se trata de mantener actualizados los cursos de larga duración, el software antiguo de los foros y los métodos de almacenamiento de contraseñas. MD5 con sal ya no debe considerarse suficiente; los sistemas modernos deben utilizar algoritmos hash más robustos y lentos. Por parte del usuario, en las plataformas de compraventa donde se realizan transacciones deben combinarse la autenticación de dos factores, los procesos de intermediación de confianza, las direcciones de correo electrónico separadas y las contraseñas únicas. Este enfoque reduce el riesgo de que las filtraciones antiguas afecten a las cuentas de videojuegos actuales.

Si su dirección de correo electrónico aparece en este registro, no dé por hecho que se hayan filtrado los datos de su tarjeta de pago o el inventario de su cuenta de videojuegos; esos campos no están verificados. Sin embargo, la combinación de correo electrónico, dirección IP, nombre de usuario y hash MD5 de contraseña con sal constituye una advertencia seria para la seguridad de sus cuentas. Cambie la contraseña de todas las cuentas en las que utilice la misma, active la autenticación de dos factores en las cuentas importantes y tenga precaución con los mensajes sospechosos relacionados con plataformas de compraventa.

No reste importancia a su cuenta de EpicNPC por ser una cuenta antigua de un foro. Revise sus cuentas de tiendas de videojuegos, plataformas de compraventa, correo electrónico y redes sociales. Cierre las cuentas de foros que ya no utilice, evite que el uso del mismo nombre de usuario facilite la vinculación de sus perfiles en distintas plataformas y no haga clic en enlaces de compraventa en los que no confíe. La filtración de datos de EpicNPC demuestra que las credenciales de las cuentas de comunidades dedicadas a la compraventa de cuentas de videojuegos pueden generar riesgos de fraude y para la privacidad de los perfiles a largo plazo.