Games Box Filtración de datos

El riesgo más importante en el registro de Games Box es que las contraseñas no solo se almacenaban en forma de hash, sino también, en algunos registros, en texto plano. Una contraseña en texto plano permite que un atacante la pruebe directamente sin necesidad de descifrarla. Si se utiliza la misma contraseña en otra cuenta de correo electrónico, juegos, redes sociales, foros o compras, surge de inmediato el riesgo de que alguien tome el control de esa cuenta. Las contraseñas almacenadas en forma de hash tampoco deben considerarse seguras: las contraseñas débiles o reutilizadas pueden descifrarse con el tiempo.

Cuando las direcciones de correo electrónico, los nombres de usuario y la información sobre la edad y el género aparecen juntos, aumenta el riesgo de fraude dirigido y de elaboración de perfiles. Aunque los campos de edad y género por sí solos no se consideran datos de identidad de gran impacto, al combinarlos con el correo electrónico y el nombre de usuario se pueden crear notificaciones falsas, estafas relacionadas con cuentas de juegos y mensajes de phishing más convincentes. Por ello, el usuario debe revisar no solo su contraseña, sino también las demás plataformas en las que utiliza la misma información de perfil.

La cifra verificada para este registro debe mantenerse en 1 439 354. Este valor representa el número de direcciones de correo electrónico únicas incluidas en el conjunto de datos; cada registro no corresponde necesariamente a una única persona real. La existencia de varias cuentas abiertas por una misma persona, direcciones de correo electrónico antiguas que aparecen por separado o datos duplicados puede afectar a la interpretación de esta cifra. Además, la redistribución de los datos del incidente dentro de un archivo de datos más amplio no basta por sí sola para ampliar el alcance de este registro.

Las categorías de datos verificadas son información sobre la edad, direcciones de correo electrónico, información sobre el género, contraseñas y nombres de usuario. El campo de contraseña puede estar en forma de hash o en texto plano; esta distinción debe conservarse en el texto. Las direcciones IP, los números de teléfono, las direcciones físicas, los datos de tarjetas de pago, los datos de documentos oficiales de identidad, los mensajes privados, el historial de compras dentro de los juegos y la información de dispositivos no figuran entre los campos verificados, por lo que no deben añadirse al registro. El riesgo que se presenta al usuario debe explicarse únicamente a partir de las categorías de datos verificadas.

El mayor riesgo afecta a los usuarios que también utilizan en otras cuentas la contraseña de su cuenta de Games Box. La presencia de una contraseña en texto plano facilita que los atacantes prueben esa misma contraseña en distintos servicios. Aunque una antigua cuenta de un sitio de juegos ya no se utilice, el riesgo persiste si la misma contraseña sigue siendo válida en una cuenta activa de correo electrónico, una tienda de juegos, una red social o un foro. En particular, las antiguas cuentas de juegos abiertas a nombre de usuarios más jóvenes pueden caer en el olvido, mientras que el mismo correo electrónico y la misma contraseña pueden seguir utilizándose en otros servicios durante años.

También debe evaluarse el riesgo de recibir mensajes dirigidos para los usuarios cuyos datos incluyen información sobre la edad y el género. Los atacantes pueden utilizar estos campos para crear mensajes que parezcan personalizados, como campañas, recompensas, verificaciones de cuentas o regalos dentro de los juegos. Si el nombre de usuario también se utiliza en otros juegos y plataformas sociales, aumenta el riesgo de vincular los perfiles entre sí. Por ello, si se encuentra una coincidencia para un usuario, este debe revisar no solo su cuenta de Games Box, sino también todas las cuentas asociadas al mismo correo electrónico y nombre de usuario.

Ante esta filtración, los usuarios con una dirección de correo electrónico deben asegurarse primero de que la contraseña que utilizaban en su cuenta de Games Box no se use en ninguna otra cuenta. Si han utilizado la misma contraseña o una similar en otro servicio, deben sustituirla de inmediato por una contraseña única, larga y difícil de adivinar. Un gestor de contraseñas facilita la creación de una contraseña distinta para cada cuenta. Debido al riesgo que suponen las contraseñas en texto plano, no deben considerarse suficientes medidas como cambiar solo unos pocos caracteres o añadir números al final.

Debe activarse la autenticación de dos factores en las cuentas de correo electrónico, las tiendas de juegos, las redes sociales, los foros y las plataformas que permiten realizar pagos. Si en el historial de la cuenta aparece un dispositivo desconocido, un inicio de sesión inesperado, una solicitud de restablecimiento de contraseña o una notificación de seguridad sospechosa, deben cerrarse todas las sesiones y actualizarse los datos de recuperación. Ante mensajes sobre recompensas dentro de los juegos, saldo gratuito, códigos de regalo o verificación de cuentas, se deben comprobar de forma independiente la dirección y los datos del remitente antes de hacer clic en los enlaces.

El incidente de Games Box demuestra que las contraseñas utilizadas en antiguos sitios de juegos pueden convertirse en un problema de seguridad incluso años después. Los usuarios no deben reutilizar la misma contraseña en cuentas de juegos, foros, correo electrónico, redes sociales y compras. Las cuentas que ya no se utilicen deben cerrarse; en las que no puedan cerrarse, debe establecerse una contraseña única y reducirse al mínimo la información del perfil. Repetir el mismo nombre de usuario en varias plataformas también debe ser una decisión consciente, ya que facilita la vinculación de perfiles.

La lección más importante para los proveedores de servicios es que las contraseñas nunca deben almacenarse en texto plano, bajo ninguna circunstancia. El almacenamiento de contraseñas debe realizarse mediante algoritmos hash actualizados y con parámetros de coste ajustados, y los controles de acceso deben auditarse periódicamente. Los campos del perfil, como la edad y el género, no deben conservarse más tiempo del necesario, y solo debe almacenarse la información verdaderamente necesaria, de acuerdo con el principio de minimización de datos. Al informar de un incidente, debe indicarse claramente qué campos están en forma de hash y cuáles están en texto plano.

Al comprobar los registros de la filtración de Games Box, el resultado indica si la dirección de correo electrónico introducida figura en este conjunto de datos verificado. Si el resultado es positivo, deben considerarse en riesgo la dirección de correo electrónico, el nombre de usuario, la edad, el género y la contraseña. Como el campo de contraseña puede estar en texto plano en algunos registros, un resultado positivo debe tomarse en serio. Si el resultado es negativo, significa que no hay ninguna coincidencia en este conjunto de datos específico; esto no demuestra que la persona no se haya visto afectada por otras filtraciones.

La medida adecuada para el usuario es dejar de utilizar por completo la antigua contraseña, cambiar todas las contraseñas reutilizadas en todas las plataformas, añadir protección multifactor a las cuentas críticas y revisar otras cuentas de juegos o redes sociales creadas con el mismo nombre de usuario. El usuario no debe considerar que el riesgo es insignificante porque el incidente sea antiguo o porque el sitio ya no esté activo. La posibilidad de que una contraseña esté en texto plano puede proporcionar datos suficientes para intentar tomar el control de una cuenta incluso años después.