Final Fantasy Shrine Filtración de datos

Los tipos de datos confirmados en este registro son direcciones de correo electrónico, nombres de usuario, hashes de contraseñas e información relacionada con la actividad en el sitio. La descripción del incidente también indica que entre los registros publicados hay direcciones IP. Una dirección de correo electrónico puede permitir al atacante contactar con el usuario; un nombre de usuario puede ayudar a vincular cuentas de distintas comunidades; y los hashes de contraseñas pueden permitir intentos de obtener las contraseñas originales. La información sobre la actividad en el sitio puede aportar indicios adicionales sobre la presencia de una persona en el foro o el contexto de uso de su cuenta.

Almacenar las contraseñas como hashes con sal ofrece más protección que almacenarlas en texto plano en caso de filtración; sin embargo, el riesgo persiste si las contraseñas son débiles o se han reutilizado. Los atacantes pueden probar rápidamente contraseñas cortas, palabras del diccionario, nombres de personajes de videojuegos, expresiones a las que se hayan añadido años de nacimiento o patrones de contraseñas filtrados anteriormente. Las contraseñas de antiguas cuentas de foros como Final Fantasy Shrine pueden haberse reutilizado en otras cuentas con el tiempo. Por tanto, el incidente no afecta solo a la cuenta del foro, sino a todas las cuentas vinculadas al mismo historial de contraseñas.

El número de direcciones de correo electrónico únicas verificadas es de 620 677. La fecha del incidente registrada es el 18 de septiembre de 2015, y el registro está asociado al foro Final Fantasy Shrine. El total de 620 681 observado anteriormente en la base de datos superaba en unos pocos registros el número de correos electrónicos únicos verificados; para determinar el alcance entre los usuarios, debe tomarse como referencia la cifra de 620 677. Los campos principales de la filtración corresponden al ID de la cuenta del foro, el correo electrónico, los hashes de contraseñas y la actividad en el sitio.

Los datos de tarjetas de pago, cuentas bancarias, direcciones físicas, números de teléfono, documentos oficiales de identidad, contenido de mensajes privados o contraseñas en texto plano no forman parte del alcance verificado de este registro. Que las contraseñas estén almacenadas como hashes no significa que un atacante pueda verlas de inmediato; sin embargo, existe la posibilidad de obtener las contraseñas antiguas y débiles a partir de esos hashes. Es importante que los usuarios comprendan correctamente esta limitación: no deben añadirse afirmaciones sobre datos financieros o direcciones, pero el riesgo para la seguridad de las cuentas es grave debido a la reutilización de contraseñas.

Los usuarios que corren mayor riesgo son quienes reutilizan en otras plataformas la contraseña de su cuenta del foro Final Fantasy Shrine. Si usan la misma contraseña en cuentas de correo electrónico, cuentas de videojuegos, perfiles de redes sociales, foros o sitios de compras, los atacantes pueden intentar utilizar esas combinaciones en distintos servicios. Cuando los usuarios olvidan sus antiguas cuentas de foros, puede resultarles difícil recordar dónde reutilizaron esa contraseña.

Los usuarios que repiten su nombre de usuario en distintas comunidades de videojuegos corren el riesgo de que se vinculen sus cuentas. Usar el mismo apodo en varios foros, cuentas de videojuegos o perfiles de redes sociales puede facilitar que se relacionen los rastros digitales de una persona con una dirección de correo electrónico filtrada. El atractivo del foro para una comunidad con intereses específicos, como Final Fantasy y la música de videojuegos, puede aprovecharse para enviar mensajes falsos de la comunidad, avisos de recuperación de cuentas o invitaciones relacionadas con antiguas cuentas.

Si su dirección de correo electrónico aparece en este registro, cambie la contraseña que pudo haber usado en su cuenta de Final Fantasy Shrine y en todas las cuentas en las que la haya reutilizado. No basta con que la cuenta del foro ya no esté activa; la contraseña antigua puede seguir utilizándose en otra cuenta. Use una contraseña segura y única en su cuenta de correo electrónico, active la autenticación de dos factores y cierre las sesiones que no reconozca. Revise también sus cuentas de videojuegos y perfiles de redes sociales con la misma prioridad.

Tenga cuidado con los mensajes enviados en nombre de un antiguo foro o una comunidad de videojuegos. Si un enlace le pide que introduzca una contraseña, verifique su cuenta, reactive una cuenta antigua o conecte su cuenta de videojuegos, no siga el enlace: compruébelo escribiendo usted mismo el dominio del servicio. Active las notificaciones de seguridad en otras plataformas donde use el mismo nombre de usuario. Utilizar un gestor de contraseñas para crear una contraseña única para cada cuenta reduce considerablemente el riesgo en situaciones similares.

El incidente de Final Fantasy Shrine muestra que las antiguas cuentas de comunidades pueden seguir suponiendo un riesgo de seguridad durante mucho tiempo. Los usuarios deben revisar periódicamente las cuentas de foros, videojuegos, servicios para compartir archivos y comunidades que crearon años atrás. Las cuentas que ya no se utilicen deben cerrarse y, en las que sigan en uso, conviene optar por contraseñas únicas y autenticación de dos factores. Utilizar la misma dirección de correo electrónico durante muchos años puede facilitar que las filtraciones antiguas se aprovechen en nuevas campañas de ataque.

La principal lección para los servicios de foros y comunidades es que los hashes de contraseñas deben protegerse con algoritmos robustos y un valor de sal único para cada usuario. Además, almacenar datos innecesarios de las cuentas en software antiguo de foros puede aumentar el impacto de un ataque. Para los usuarios, el principio fundamental sigue siendo el mismo: aunque una cuenta de videojuegos o de una afición parezca de bajo riesgo, su contraseña no debe reutilizarse en otras cuentas. Cuando una cuenta de una comunidad se ve comprometida, todas las cuentas digitales vinculadas al mismo historial de contraseñas pueden verse afectadas.

Si su dirección de correo electrónico aparece en el registro de Final Fantasy Shrine, piense primero en la contraseña que utiliza o pudo haber utilizado en este foro. Si usa la misma contraseña o una similar en otras cuentas, cámbielas todas. Dé prioridad a las cuentas de correo electrónico, videojuegos, redes sociales y compras. Si recibe un aviso de inicio de sesión sospechoso, un mensaje inesperado de restablecimiento de contraseña o detecta un intento de recuperación de la cuenta por parte de alguien que no reconoce, revise de inmediato la configuración de seguridad de la cuenta correspondiente.

Aunque no se verificó la presencia de datos de pago ni de documentos de identidad en esta filtración, la combinación de nombres de usuario, correos electrónicos, actividad en el sitio y hashes de contraseñas supone un riesgo considerable para la seguridad de las cuentas. Lo más adecuado es no considerar la antigua cuenta del foro de forma aislada, sino evaluar todos los servicios vinculados al mismo historial de contraseñas. Las contraseñas únicas, la verificación en dos pasos, la revisión del historial de sesiones y el hábito de reducir el número de cuentas antiguas limitan el impacto a largo plazo de las filtraciones de comunidades del pasado, como Final Fantasy Shrine.