Gamerzplanet Filtración de datos

Las contraseñas son la categoría de datos confirmada más crítica de esta filtración. Almacenar las contraseñas como hashes con sal supone un nivel de riesgo distinto al de las filtraciones de contraseñas en texto sin formato; sin embargo, la información de que una implementación deficiente permite recuperar rápidamente las contraseñas a partir de muchos de esos hashes hace que este registro implique un riesgo elevado. Si la contraseña es corta, se parece a una palabra del diccionario o se reutiliza en otras plataformas, los atacantes pueden intentar usarla en cuentas de correo electrónico, videojuegos, redes sociales, foros y compras. Estos intentos pueden continuar incluso años después de una filtración antigua.

Cuando las direcciones de correo electrónico y los nombres de usuario aparecen juntos, los mensajes de suplantación de identidad dirigidos a una persona resultan más convincentes. Las direcciones IP también pueden aportar indicios adicionales sobre el entorno de conexión del usuario. Una IP por sí sola no constituye una prueba definitiva de identidad; sin embargo, al analizarla junto con un correo electrónico y un nombre de usuario, puede servir como información de apoyo para vincular perfiles, crear alertas de seguridad falsas e intentar tomar el control de cuentas. Por ello, no debe centrarse únicamente en su cuenta del foro, sino en todas las cuentas vinculadas a la misma información.

La cifra verificada para este registro debe mantenerse en 1 217 166. Este valor representa los registros de cuentas encontrados en el conjunto de datos; no debe darse por seguro que cada registro corresponda a una persona real distinta. Un usuario puede haber abierto varias cuentas, un correo electrónico antiguo y uno nuevo pueden aparecer por separado, o puede haber duplicados técnicos que afecten a la interpretación del número de registros. Aun así, la cifra es lo suficientemente elevada como para indicar que se trata de una brecha de seguridad del foro a gran escala.

Las categorías de datos verificadas son direcciones de correo electrónico, direcciones IP, nombres de usuario y contraseñas. Los datos de contraseñas deben tratarse como hashes con sal; los detalles verificados apuntan a una implementación deficiente, pero no debe añadirse al registro el nombre de ningún algoritmo sin pruebas. Los números de teléfono, las direcciones físicas, la información de pago, los datos de identificación oficial, las fechas de nacimiento, los mensajes privados, los inventarios dentro de los juegos y los historiales de pagos no son campos verificados para este incidente. Esta delimitación permite comunicar el riesgo al usuario con precisión y sobre la base de las pruebas disponibles.

El mayor riesgo recae en quienes reutilizan la contraseña de su cuenta de Gamerzplanet en otras plataformas. En los foros de videojuegos se utilizan alias y direcciones de correo electrónico que permanecen activos durante mucho tiempo; esto también facilita vincular registros antiguos con otras cuentas. Aunque la cuenta del foro ya no se utilice, si el mismo nombre de usuario aparece en otros perfiles de videojuegos, chat o redes sociales, los atacantes pueden aprovechar esa conexión para realizar ataques de ingeniería social.

Los usuarios cuyos datos incluyen tanto una dirección IP como una dirección de correo electrónico también se enfrentan a un riesgo adicional. Una dirección IP no equivale directamente a una dirección física; sin embargo, si se utiliza junto con información sobre el momento de la conexión, el proveedor de servicios de internet y la cuenta, puede aumentar el riesgo de elaboración de perfiles. Dado que los patrones de contraseñas utilizados en antiguas comunidades de videojuegos se han repetido con frecuencia a lo largo de los años, si está afectado por esta filtración, debe comprobar si también utiliza contraseñas basadas en la misma raíz en sus cuentas actualmente activas.

Si su dirección de correo electrónico figura en este registro, debe asegurarse de que la antigua contraseña de su cuenta de Gamerzplanet no siga siendo válida en ninguna otra cuenta. Si ha utilizado la misma contraseña o una similar en cuentas de correo electrónico, videojuegos, foros, redes sociales o compras, debe establecer una contraseña larga y única para cada cuenta. Utilizar un gestor de contraseñas hace que este proceso sea más seguro. No debe considerar suficiente añadir un número o un símbolo al final de la contraseña antigua.

Debe activar la autenticación multifactor en las cuentas críticas, especialmente en la de correo electrónico. Si en el historial de la cuenta aparece una sesión desconocida, una solicitud inesperada de restablecimiento de contraseña, un dispositivo que no reconoce o una notificación de seguridad, debe cerrar todas las sesiones y actualizar la información de recuperación. Tenga cuidado con las notificaciones falsas y las advertencias de seguridad que utilicen el nombre del antiguo foro. Antes de hacer clic en enlaces de inicio de sesión, compruebe de forma independiente la dirección que aparece en la barra de direcciones y la información del remitente.

El incidente de Gamerzplanet demuestra que las cuentas de videojuegos y foros requieren tanta atención como la cuenta principal de correo electrónico. Debe utilizar una contraseña distinta para cada plataforma y cerrar las cuentas de foros en las que no haya iniciado sesión desde hace mucho tiempo o, al menos, asignarles una contraseña única. Utilizar el mismo nombre de usuario en distintas plataformas facilita recordarlo; sin embargo, también aumenta el riesgo de que se vinculen sus perfiles. Si valora su privacidad, conviene que mantenga identidades más diferenciadas entre sus cuentas de videojuegos, foros y redes sociales.

La lección fundamental para las organizaciones que administran foros es que añadir una sal no basta para garantizar la seguridad de los procesos de generación de hashes de contraseñas. El método debe estar actualizado, permitir ajustar su coste computacional y ser resistente a los ataques. Se debe realizar un seguimiento periódico de los parches del software de foros antiguo, revisar los complementos, conservar los registros de acceso y limitar el acceso a la base de datos a los privilegios mínimos necesarios. Las notificaciones a los usuarios deben indicar con claridad qué campos de datos se filtraron y cuáles no se han verificado.

Al comprobar los registros de la filtración de Gamerzplanet, el resultado indica si la dirección de correo electrónico introducida se encuentra en este conjunto de datos. Si el resultado es positivo, debe considerar en riesgo la dirección de correo electrónico, la dirección IP, el nombre de usuario y el hash de la contraseña. Si el resultado es negativo, significa que no se encontró ninguna coincidencia en este conjunto de datos concreto; no significa que la persona no haya estado afectada por otras filtraciones. Por tanto, el resultado debe interpretarse únicamente en el contexto de este incidente.

Las medidas adecuadas son dejar de utilizar por completo la contraseña antigua, cambiar todas las contraseñas reutilizadas, añadir protección multifactor a la cuenta de correo electrónico y revisar las demás cuentas abiertas con el mismo nombre de usuario. El paso del tiempo no elimina el riesgo en los incidentes en los que es posible recuperar las contraseñas a partir de hashes con una protección deficiente. No debe restar importancia a su antigua inscripción en el foro de videojuegos; debe considerarla una advertencia para corregir los hábitos relacionados con las contraseñas y los nombres de usuario que aún mantiene.