Filtración de datos de Everybody Edits

Los tipos de datos verificados son direcciones de correo electrónico, direcciones IP y nombres de usuario. Una dirección de correo electrónico puede permitir vincular la cuenta del juego con identidades en otros servicios. Un nombre de usuario, por su parte, puede ayudar a establecer vínculos con redes sociales, foros, plataformas de streaming u otras cuentas de videojuegos, especialmente si se ha reutilizado durante años en comunidades de jugadores. Una dirección IP no equivale directamente a una dirección domiciliaria exacta; sin embargo, puede ofrecer indicios limitados sobre la región aproximada, el proveedor de servicios o el contexto de una sesión. Cuando estos tres campos aparecen juntos, aumentan los riesgos de recibir mensajes dirigidos, del seguimiento de cuentas y del acoso dentro de la comunidad.

No deben añadirse las contraseñas a la lista de categorías de datos de esta brecha. Aunque la descripción de la plataforma incluye recomendaciones sobre la seguridad de las contraseñas, la lista de campos verificados se limita a la dirección de correo electrónico, la dirección IP y el nombre de usuario. No obstante, utilizar la misma dirección de correo electrónico y el mismo nombre de usuario en otros juegos o plataformas sociales supone un riesgo. Los atacantes pueden intentar tomar el control de cuentas combinando esta información con contraseñas procedentes de otras filtraciones. Por tanto, las contraseñas no deben presentarse como un campo independiente de esta brecha; el riesgo debe evaluarse principalmente en términos de vinculación de cuentas, phishing dirigido y cruce de información con otras filtraciones.

El número de cuentas verificadas en el que se basa este registro es de 871 190. El incidente está relacionado con los archivos distribuidos el 23 de marzo de 2019 e incluye datos de cuentas del juego. No debe suponerse que los mismos campos de datos quedaron expuestos en igual medida para todos los usuarios; el comunicado de la plataforma señaló diferencias en los efectos sobre las cuentas del sitio principal, las cuentas vinculadas a Facebook y otros tipos de inicio de sesión. Por ello, en la información pública, los campos confirmados deben limitarse a la dirección de correo electrónico, la dirección IP y el nombre de usuario, mientras que los demás efectos contextuales deben tratarse como una limitación del alcance, en lugar de dar lugar a suposiciones adicionales.

Este incidente no debe extenderse a categorías de datos personales ajenas a los tres campos verificados. Además, una dirección IP por sí sola no debe interpretarse como información de ubicación precisa. El propio comunicado de la plataforma explica que algunas cuentas vinculadas pueden tener implicaciones para la privacidad, como la asociación entre un nombre de perfil y una dirección IP; sin embargo, estos detalles, que quedan fuera de las categorías de datos verificadas, no deben generalizarse a todas las cuentas. Esta delimitación permite a los usuarios, especialmente en las comunidades de videojuegos, comprender el riesgo real sin generar falsas alarmas.

El grupo de mayor riesgo incluye a quienes abrieron una cuenta de Everybody Edits entre 2010 y principios de 2019 y utilizaron el mismo nombre de usuario en otras plataformas. En las comunidades de videojuegos, los nombres de usuario suelen repetirse en foros, redes sociales, canales de streaming y otras cuentas de juegos. Esto puede permitir reunir las distintas identidades en línea de una persona, incluso si solo se filtra la dirección de correo electrónico. Aunque la dirección IP sea antigua, puede aportar un contexto aproximado sobre el acceso del usuario durante un periodo determinado.

Los jugadores que han utilizado el inicio de sesión vinculado a Facebook, los antiguos miembros de la comunidad del juego, los moderadores, los creadores de mapas y las personas reconocidas por sus nombres de usuario visibles pueden estar expuestos a un riesgo adicional. Como los vínculos sociales son fuertes en las comunidades de videojuegos, los atacantes pueden enviar mensajes sobre antiguas amistades, recuperación de cuentas, recompensas dentro del juego o invitaciones a servidores que apelan a la nostalgia. Los usuarios jóvenes y quienes llevan mucho tiempo sin revisar sus cuentas antiguas pueden creer que esos mensajes son auténticos. Por tanto, el riesgo debe considerarse no solo en términos de toma de control de cuentas por medios técnicos, sino también de ataques dirigidos dentro de la comunidad e ingeniería social.

Si utiliza la dirección de correo electrónico asociada a su cuenta de Everybody Edits en otros juegos, foros o cuentas de redes sociales, revise la configuración de seguridad de esas cuentas. Reduzca la información visible en los perfiles de las cuentas que comparten el mismo nombre de usuario y asegúrese de que las opciones de recuperación de cuentas estén actualizadas. Utilice una contraseña única para cada cuenta; aunque esta brecha no incluya las contraseñas como categoría de datos verificada, los intentos de cruzar la información con otras filtraciones pueden hacer que reutilizar contraseñas resulte peligroso. Active la autenticación multifactor en su cuenta de correo electrónico.

Tenga cautela ante mensajes inesperados sobre recompensas dentro del juego, recuperación de cuentas antiguas, servidores que apelan a la nostalgia, membresías gratuitas o invitaciones a comunidades. Compruebe el dominio antes de hacer clic en el enlace y no responda a quienes le pidan información personal para recuperar su antigua cuenta del juego. Si cree que su dirección IP pudo haberse filtrado a partir de una sesión antigua, tenga presente que este dato no indica la ubicación exacta; aun así, puede revisar el enrutamiento del módem, la seguridad de la red y la configuración de privacidad para reforzar su privacidad. Además, evitar mostrar innecesariamente su dirección de correo electrónico en perfiles públicos reduce el riesgo de recibir mensajes dirigidos.

Las cuentas de videojuegos suelen considerarse poco importantes, pero los nombres de usuario y las direcciones de correo electrónico utilizados durante años pasan a formar parte de la identidad digital de una persona. A largo plazo, es importante utilizar contraseñas distintas para cada cuenta de juego y de comunidad, optar por direcciones de correo electrónico separadas para las cuentas críticas y cerrar los perfiles antiguos. Si utiliza el mismo nombre de usuario en muchas plataformas diferentes, compruebe periódicamente qué cuentas son públicas. Los foros antiguos de videojuegos, los perfiles archivados y los enlaces a redes sociales pueden generar una visibilidad innecesaria al combinarse.

Desde la perspectiva de las plataformas, este incidente muestra la necesidad de proteger cuidadosamente los archivos de eliminación de cuentas antiguas y los sistemas de inicio de sesión asociados. Deben reducirse los periodos innecesarios de conservación de direcciones IP, restringirse la exportación de datos de usuarios mediante controles de acceso sólidos y generarse los enlaces a archivos de forma impredecible. Para los usuarios, depurar periódicamente las cuentas antiguas, utilizar direcciones de correo electrónico enmascaradas, activar la autenticación multifactor y evaluar con cautela los mensajes de la comunidad de videojuegos ofrece una protección duradera. Así se evita que los datos de juegos antiguos se conviertan en el primer eslabón de una cadena que debilite la seguridad de las cuentas actuales.

Si ha jugado a Everybody Edits o creó una cuenta en everybodyedits.com antes de 2019, debe comprobar si su dirección de correo electrónico está asociada a este registro. Si hay una coincidencia, proteja primero su cuenta de correo electrónico y después revise las demás plataformas en las que utilizó el mismo nombre de usuario. El principal riesgo de este incidente es que las cuentas puedan vincularse cuando la dirección de correo electrónico, la dirección IP y el nombre de usuario aparecen juntos. Las contraseñas no deben añadirse como un campo de datos independiente en este registro, pero debe utilizarse una contraseña única para cada cuenta importante a fin de evitar su reutilización.

Este registro describe la brecha de datos de Everybody Edits con su alcance verificado: el incidente está relacionado con datos de una comunidad de videojuegos del 23 de marzo de 2019, el número de cuentas afectadas es de 871 190 y las categorías de datos verificadas son direcciones de correo electrónico, direcciones IP y nombres de usuario. Las medidas del usuario deben centrarse en reforzar la seguridad de su cuenta de correo electrónico, revisar los perfiles que utilizan el mismo nombre de usuario, desconfiar de los mensajes inesperados del juego o de la comunidad y reducir la visibilidad de las cuentas antiguas.