Funny Games Filtración de datos

El aspecto más crítico confirmado en esta filtración es que las contraseñas están almacenadas como hashes MD5 con sal. El uso de sal reduce la posibilidad de que las cuentas con la misma contraseña tengan valores hash idénticos; sin embargo, MD5 se considera débil según las exigencias de seguridad actuales. Si la contraseña es corta, predecible o ha aparecido en una filtración anterior, aumenta la probabilidad de que se pueda recuperar a partir del hash. Esta situación incrementa el riesgo de que un atacante tome el control no solo de la cuenta de Funny Games, sino también de cuentas de correo electrónico, juegos, redes sociales, foros o compras en las que se reutilice la misma contraseña.

Cuando se obtienen conjuntamente direcciones de correo electrónico y nombres de usuario, los atacantes pueden saber con qué seudónimo y dirección de correo se registró el titular de la cuenta. Esta combinación de datos puede utilizarse en mensajes de phishing dirigidos, páginas de inicio de sesión falsas e intentos de restablecimiento de contraseña. La obtención de direcciones IP puede aportar contexto adicional sobre los rastros de conexión de un usuario. Aunque una dirección IP no constituye por sí sola una prueba concluyente de identidad, al combinarse con información sobre la hora, la ubicación y la sesión, aumenta el riesgo de que se elaboren perfiles de los usuarios.

La cifra de registros verificados debe mantenerse en 764 357. Este número corresponde a los registros del archivo de datos filtrados; cada registro no representa necesariamente a una persona real distinta. Es posible que una misma persona haya abierto varias cuentas, que las direcciones de correo antiguas y actuales aparezcan por separado o que haya registros duplicados por motivos técnicos. Por tanto, la cifra debe conservarse al evaluar el alcance, pero no debe presentarse como una certeza sobre el número de personas si este no se ha verificado.

Los campos de datos verificados para este registro son direcciones de correo electrónico, direcciones IP, nombres de usuario y contraseñas. El campo de contraseña debe especificarse como un hash MD5 con sal; no deben añadirse a este registro contraseñas en texto plano, tarjetas de pago, números de identificación, direcciones completas, números de teléfono, fechas de nacimiento, historiales de pagos dentro del juego ni datos de mensajes privados sin verificarlos. Dado que tampoco se ha verificado explícitamente la información sobre el país, no debe atribuirse a la empresa una ubicación en un país concreto. Así se evita presentar al usuario una descripción de la filtración que exagere su alcance o carezca de fundamento.

El mayor riesgo lo corren los usuarios que reutilizan en otras plataformas la contraseña de su cuenta de Funny Games. Cuando el correo electrónico y el nombre de usuario siguen siendo los mismos, los atacantes pueden dirigir intentos automatizados de inicio de sesión contra distintas cuentas. Como es habitual que las contraseñas de cuentas de juegos antiguas permanezcan sin cambios durante años, el riesgo no desaparece por completo aunque el incidente sea antiguo. Si una contraseña antigua sigue utilizándose hoy en otra cuenta activa, este registro continúa teniendo implicaciones prácticas para la seguridad.

También deben evaluarse con cuidado las cuentas abiertas en nombre de niños y jugadores jóvenes. Los nombres de usuario utilizados en sitios de juegos y entretenimiento a veces se repiten en redes sociales, servicios de mensajería, plataformas de transmisión de contenido o cuentas de foros. Esta repetición puede permitir que se vincule la identidad en línea de una persona entre distintos entornos. La obtención de la dirección IP también aporta un rastro adicional sobre los entornos de conexión desde los que se ha utilizado la cuenta. Por tanto, si usted es el titular, debe revisar no solo la cuenta de juegos, sino también todas las cuentas asociadas al mismo correo electrónico y alias.

Si su dirección de correo electrónico figura en este registro, lo primero que debe hacer es asegurarse de que no utiliza en ningún otro servicio la contraseña antigua de su cuenta de Funny Games. Si ha utilizado la misma contraseña o una similar en otra cuenta, debe cambiarla de inmediato por una contraseña segura y exclusiva. Utilizar un gestor de contraseñas para generar una contraseña distinta, larga y difícil de adivinar para cada cuenta reduce el riesgo de reutilización. Al cambiar una contraseña, no basta con modificar el último carácter ni con añadir pequeñas variaciones al mismo patrón.

Debe activar la autenticación multifactor en sus cuentas de correo electrónico, juegos y redes sociales, así como en todos los servicios que impliquen transacciones financieras. Si en el historial de actividad de la cuenta aparecen accesos ajenos, dispositivos que no reconoce, solicitudes inesperadas de restablecimiento de contraseña o correos de seguridad, debe cerrar las sesiones y actualizar las opciones de recuperación. Aunque no se haya verificado la presencia de datos telefónicos o de pago en este incidente, los atacantes pueden utilizar el correo electrónico, el nombre de usuario y la información de contraseñas antiguas en mensajes que parezcan fiables. Por ello, debe examinar con cuidado los enlaces y archivos adjuntos que reciba.

Aunque esta filtración sea un incidente antiguo, la lección a largo plazo es que la contraseña no debe ser la única capa de protección. Utilice contraseñas exclusivas para cada cuenta, exija protección multifactor en las cuentas críticas y revise periódicamente sus cuentas antiguas de juegos o foros. Si es posible, cierre las cuentas que ya no utiliza; si no puede cerrarlas, asigne una contraseña exclusiva y reduzca al mínimo la información del perfil.

Por parte de las organizaciones, deben abandonarse los métodos de hash obsoletos, como MD5, y utilizarse preferentemente algoritmos actuales con un coste computacional ajustado para almacenar contraseñas. Mantener fragmentos de código antiguo en el sistema genera con el tiempo una deuda de seguridad que pasa inadvertida. Por ello, en las aplicaciones que procesan datos de cuentas deben mantenerse de forma continua el inventario de código, los registros de acceso, las comprobaciones de dependencias y las pruebas periódicas de seguridad. Las notificaciones dirigidas a los usuarios deben distinguir claramente qué campos de datos están afectados, cuáles no lo están y qué medidas debe tomar el usuario.

Al comprobar los registros de la filtración de Funny Games, el resultado indica si la dirección de correo electrónico de la persona se encuentra en este conjunto de datos. Si el resultado es positivo, deben considerarse en riesgo el nombre de usuario, la dirección de correo electrónico, la dirección IP y el hash de la contraseña. Si el resultado es negativo, significa que no se ha encontrado ninguna coincidencia en este conjunto de datos concreto; no significa que la persona no se haya visto afectada por otras filtraciones. Por tanto, la evaluación de seguridad no debe limitarse a un solo registro.

Según este registro, las medidas adecuadas son dejar de utilizar las contraseñas antiguas, cambiar a una contraseña exclusiva, activar la autenticación multifactor y revisar el historial de seguridad de otras cuentas que utilicen la misma dirección de correo electrónico. Cuando el hash de una contraseña quedó expuesto en un incidente pasado, los atacantes pueden reutilizar los datos incluso años después. Abandone por completo los patrones de contraseñas antiguos, especialmente los utilizados en cuentas de juegos y entretenimiento, y no reste importancia a las advertencias de seguridad basándose únicamente en la fecha del incidente.