Flash Flash Revolution (filtración de datos de 2019)

Los tipos de datos verificados en el registro de 2019 son fechas de nacimiento, direcciones de correo electrónico, direcciones IP, contraseñas y nombres de usuario. Las contraseñas se almacenaban como hashes MD5 con sal. El correo electrónico y el nombre de usuario pueden utilizarse para intentar acceder a cuentas y vincular perfiles en distintos servicios. La dirección IP puede aportar información sobre el historial de conexiones o el contexto regional. La fecha de nacimiento puede utilizarse indebidamente para crear mensajes que reflejen un mayor conocimiento del usuario, adivinar las respuestas a ciertas preguntas de recuperación de cuentas o reforzar escenarios de autenticación.

Los hashes MD5 con sal ofrecen más seguridad que las contraseñas en texto plano, pero MD5 es un método débil según los criterios de seguridad actuales. Persiste el riesgo de que se logre recuperar las contraseñas débiles, cortas o reutilizadas a partir de sus hashes. El registro de 2019 es adicional al incidente de 2016 e independiente de él, por lo que los usuarios no deberían confiar únicamente en los cambios de contraseña realizados anteriormente. Quienes establecieron una nueva contraseña después de 2016, pero la siguieron utilizando hasta 2019, también pueden estar en riesgo.

El número de cuentas únicas verificadas es de 1 858 124. La fecha registrada para el incidente es el 16 de julio de 2019. El registro corresponde a la plataforma Flash Flash Revolution y constituye un incidente separado de la filtración que sufrió el mismo servicio en 2016. Los campos de datos se limitan a direcciones de correo electrónico, direcciones IP, nombres de usuario, fechas de nacimiento y hashes de contraseñas generados mediante MD5 con sal. Esta delimitación es el principal aspecto que distingue el registro de 2019 del de 2016.

En este registro, el número de teléfono, la dirección física, la tarjeta de pago, la cuenta bancaria, el documento oficial de identidad, el contenido de mensajes privados y el historial de compras no figuran entre los campos de datos verificados. La presencia de una fecha de nacimiento aumenta el riesgo, pero no debe añadirse ninguna afirmación sobre datos financieros. Los usuarios deberían evaluar el incidente en función de la seguridad de la cuenta, la reutilización de contraseñas, la ingeniería social apoyada en la fecha de nacimiento y los riesgos de vinculación de identidades en foros.

Los usuarios con mayor riesgo son quienes utilizan la contraseña de su cuenta de Flash Flash Revolution en otras cuentas de juegos, foros, correo electrónico o redes sociales. Las personas que cambiaron su contraseña después del incidente de 2016, pero siguieron utilizando esa misma contraseña nueva durante mucho tiempo, también podrían haberse visto afectadas por la filtración recogida en el registro de 2019. Que la antigua cuenta de juego ya no esté activa no elimina el riesgo: las mismas contraseñas utilizadas en el pasado pueden seguir en uso en otras cuentas.

El riesgo de recibir mensajes dirigidos es mayor para las personas cuya fecha de nacimiento y nombre de usuario aparecen juntos. Los atacantes pueden crear mensajes relacionados con antiguas comunidades de juegos, campañas de cumpleaños, recuperación de cuentas, recompensas, torneos, verificación de perfiles o comprobaciones de seguridad. La información de las direcciones IP y de correo electrónico también puede hacer que estos mensajes resulten más convincentes. Quienes utilizan el mismo apodo en distintas plataformas deberían considerar el riesgo de que su identidad digital pueda vincularse entre varios servicios.

Si su dirección de correo electrónico aparece en este registro, cambie la contraseña que utilizaba en su cuenta de Flash Flash Revolution en 2019 y las de todas las cuentas en las que haya reutilizado esa misma contraseña. Aunque haya cambiado su contraseña después de la filtración de 2016, compruebe si la que utilizaba en 2019 sigue en uso en otras cuentas. Dé prioridad a las cuentas de correo electrónico, las cuentas de juegos, los perfiles de redes sociales y los sitios de compras. Utilice una contraseña única y larga para cada servicio.

Active la verificación en dos pasos en su cuenta de correo electrónico, mantenga activadas las notificaciones de seguridad y cierre las sesiones que no reconozca. Si recibe mensajes en nombre de un antiguo foro o una comunidad de juegos, compruebe el dominio escribiéndolo usted mismo antes de hacer clic en el enlace. Si un mensaje le pide una contraseña, un código de un solo uso o información de recuperación de la cuenta, verifique la solicitud a través de un canal independiente. No dé por hecho que un mensaje es fiable solo porque quien lo envía conoce su fecha de nacimiento.

El incidente de Flash Flash Revolution de 2019 muestra que una misma plataforma puede sufrir filtraciones independientes en años distintos. Los usuarios no deberían considerar suficiente un único cambio de contraseña y deberían tener en cuenta qué contraseña, según el periodo en que la utilizaron, podría haberse visto afectada en cada incidente. Las contraseñas únicas para cuentas de juegos y foros, la autenticación de dos factores y la revisión periódica de las sesiones son medidas fundamentales de seguridad a largo plazo. Las cuentas antiguas deberían cerrarse o protegerse con direcciones de correo electrónico actualizadas y contraseñas seguras.

Para las plataformas comunitarias, son esenciales el almacenamiento seguro de contraseñas, el software de foros actualizado, la supervisión de los accesos y las notificaciones claras a los usuarios en caso de filtraciones reiteradas. Conservar campos personales adicionales, como la fecha de nacimiento, aumenta el impacto de un incidente de seguridad de las cuentas. Reducir los datos personales innecesarios, mantener actualizados los algoritmos de hash de contraseñas y auditar periódicamente las bases de datos de cuentas son requisitos de seguridad permanentes para este tipo de servicios comunitarios.

Si su dirección de correo electrónico aparece en el registro de Flash Flash Revolution de 2019, recuerde que este incidente es independiente del registro de 2016. Cambie la contraseña que utilizaba durante 2019 y las de cualquier otra cuenta que utilice esa misma contraseña. Proteja su cuenta de correo electrónico con autenticación de dos factores, active las notificaciones de seguridad en sus cuentas de juegos y redes sociales, y tenga precaución con los mensajes personalizados con su fecha de nacimiento.

Los campos de datos verificados en esta filtración son el correo electrónico, la dirección IP, el nombre de usuario, la fecha de nacimiento y los hashes de contraseñas generados mediante MD5 con sal. No se ha verificado la presencia de datos de teléfono, dirección física o pagos; sin embargo, la combinación de contraseña y fecha de nacimiento supone un riesgo elevado. Lo más adecuado es evaluar los registros de 2016 y 2019 por separado, eliminar su historial de contraseñas, utilizar contraseñas únicas para cada cuenta y evitar que las antiguas cuentas de juegos o foros generen riesgos en otros servicios.