GameSprite Filtración de datos

Los datos más críticos cuya presencia se ha confirmado en esta filtración son los hashes MD5 de contraseñas con sal. Un hash de contraseña no equivale a una contraseña en texto sin formato; sin embargo, MD5 no es un método robusto para almacenar contraseñas en la actualidad. Si un usuario utilizó una contraseña corta, predecible o reutilizada de otras cuentas, es posible recuperar la contraseña mediante ataques contra el hash o probar la misma contraseña en distintas plataformas. Esta situación puede generar un riesgo en cadena para cuentas de correo electrónico, tiendas de juegos, redes sociales, foros y servicios que implican pagos.

Al analizar conjuntamente las direcciones de correo electrónico, los nombres de usuario y las direcciones IP, aumenta el riesgo de phishing dirigido. Un nombre de usuario puede servir para rastrear el perfil de una persona en plataformas de juegos y redes sociales. Una dirección IP por sí sola no permite identificar de forma concluyente a una persona ni su dirección física; sin embargo, combinada con un correo electrónico y un nombre de usuario, puede aportar indicios adicionales sobre el entorno de conexión. Por ello, un usuario cuya información coincida con un registro debe revisar no solo su cuenta de GameSprite, sino también otras cuentas vinculadas a los mismos datos de identidad.

La cifra verificada para este registro debe mantenerse en 6 164 643. Este valor representa registros de correo electrónico únicos; no debe suponerse que cada registro corresponde a una sola persona real. Una misma persona puede tener varias cuentas, pueden aparecer por separado direcciones de correo antiguas o pueden existir duplicados técnicos. Aun así, el volumen verificado de registros de correo electrónico indica claramente que el incidente es una filtración a gran escala de una plataforma de juegos.

Las categorías de datos verificadas son direcciones de correo electrónico, direcciones IP, contraseñas y nombres de usuario. El campo de contraseña debe especificarse como un hash MD5 con sal. No deben añadirse al registro números de teléfono, direcciones físicas, tarjetas de pago, datos de documentos oficiales de identidad, fechas de nacimiento, mensajes privados, información de dispositivos, saldos dentro del juego ni historiales de compras, porque no figuran entre los campos verificados. Este límite permite delimitar correctamente el riesgo sin generar alarma innecesaria entre los usuarios.

El mayor riesgo lo corren los usuarios que también reutilizan en otras cuentas la contraseña de su cuenta de GameSprite. El mismo nombre de usuario y la misma dirección de correo electrónico pueden conservarse durante años en distintos servicios y plataformas de juegos. Esta repetición facilita que los atacantes apliquen a cuentas actuales la información obtenida en una antigua filtración de datos. Aunque la cuenta del usuario ya no esté activa, el riesgo persiste si esa misma contraseña sigue siendo válida en otra plataforma.

Los jugadores jóvenes, los usuarios que abrieron cuentas en antiguas comunidades de juegos y las personas que usan el mismo alias en distintas plataformas también deben tener cuidado. Cuando una dirección IP y un nombre de usuario aparecen juntos, los mensajes falsos sobre alertas de seguridad, recompensas dentro del juego, verificación de cuentas o invitaciones de amistad pueden resultar más convincentes. Por ello, ante una coincidencia positiva, no basta con cambiar las contraseñas: también deben revisarse las otras cuentas que utilicen el mismo correo electrónico y nombre de usuario.

Si su dirección de correo electrónico figura en este registro, debe asegurarse de que la antigua contraseña de su cuenta de GameSprite no siga utilizándose en ninguna otra cuenta. Si ha usado la misma contraseña o una similar en otros servicios, debe cambiarla de inmediato por una contraseña larga, única y difícil de adivinar. Usar un gestor de contraseñas reduce el riesgo de reutilizarlas. Añadir un año, un símbolo o un pequeño sufijo a la contraseña antigua no proporciona una seguridad suficiente.

Debe activarse la autenticación multifactor en las cuentas de correo electrónico, las tiendas de juegos, las redes sociales, los foros y las plataformas que implican pagos. Si en el historial de la cuenta aparece un dispositivo desconocido, una sesión inesperada, una solicitud de restablecimiento de contraseña o una notificación de seguridad, deben cerrarse las sesiones y actualizarse los datos de recuperación. Cuando lleguen mensajes sobre recompensas de juegos, saldo gratuito, verificación de cuentas o actualizaciones de seguridad, debe comprobarse por una vía independiente la dirección y la información del remitente antes de hacer clic en el enlace.

El incidente de GameSprite muestra que incluso las plataformas de juegos inactivas pueden suponer un riesgo de seguridad durante mucho tiempo. Los usuarios deben revisar periódicamente sus antiguas cuentas de juegos, foros y comunidades, y cerrar las que no utilicen o mantenerlas aisladas con contraseñas únicas. Usar el mismo nombre de usuario en muchas plataformas puede ser cómodo, pero aumenta el riesgo de que se vinculen los perfiles. Los usuarios que valoren su privacidad deberían optar por direcciones de correo distintas y patrones de alias diferentes para sus cuentas de juegos y redes sociales.

La principal lección para los administradores de plataformas es abandonar los métodos débiles de hash de contraseñas, como MD5. Las contraseñas deben almacenarse mediante métodos actualizados, con un coste computacional ajustado y diseñados específicamente para contraseñas; los datos de sesión, como las direcciones IP, no deben conservarse más tiempo del necesario. Las notificaciones a los usuarios deben indicar con claridad qué campos se vieron afectados, cuáles no se verificaron y en qué formato se almacenaban las contraseñas. Así, los usuarios pueden tomar rápidamente las medidas adecuadas.

Al comprobar un registro relacionado con la filtración de GameSprite, el resultado indica si la dirección de correo electrónico introducida se encuentra en este conjunto de datos verificado. Si el resultado es positivo, deben considerarse en riesgo la dirección de correo electrónico, la dirección IP, el nombre de usuario y el hash MD5 de la contraseña con sal. Si el resultado es negativo, significa que no se encontró ninguna coincidencia en este conjunto de datos concreto; no demuestra que la persona no se haya visto afectada por otras filtraciones. El resultado debe interpretarse únicamente en el contexto de este incidente específico.

La respuesta adecuada del usuario es dejar de utilizar por completo la contraseña antigua, cambiar todas las contraseñas reutilizadas en cualquier plataforma, usar protección multifactor en las cuentas de correo electrónico y de juegos, y revisar otros perfiles creados con el mismo nombre de usuario. Un registro de una antigua plataforma de juegos supone un riesgo de seguridad actual si la misma contraseña o el mismo nombre de usuario siguen utilizándose hoy. El usuario no debe restar importancia a este registro solo porque un servicio antiguo haya cerrado.