Filtración de datos de GamingMonk

En esta filtración quedaron expuestas direcciones de correo electrónico y nombres de usuario, junto con nombres, números de teléfono y fechas de nacimiento. Esta combinación permite a los atacantes elaborar mensajes que parecen personalizados. Los números de teléfono pueden utilizarse en estafas por SMS, llamadas falsas de soporte y fraudes relacionados con la verificación de cuentas. Las fechas de nacimiento aumentan el nivel de riesgo, ya que algunos servicios las utilizan en preguntas de seguridad o como ayuda para verificar la identidad.

Almacenar las contraseñas en forma de hashes bcrypt ofrece una protección mayor que guardarlas en texto sin formato. No obstante, las contraseñas cortas, débiles o reutilizadas en otras cuentas siguen suponiendo un riesgo. Si se ha utilizado la misma contraseña en plataformas de correo electrónico, videojuegos, redes sociales, torneos o pagos, los atacantes pueden utilizar datos antiguos en intentos actuales de inicio de sesión. Por ello, los usuarios para los que se confirme una coincidencia deben revisar tanto su contraseña como la configuración de seguridad de las cuentas vinculadas a su número de teléfono y fecha de nacimiento.

La cifra verificada de este registro debe mantenerse en 654 510. Este valor representa el número de direcciones de correo electrónico únicas incluidas; cada registro no tiene por qué corresponder a una persona real distinta. Un mismo usuario puede tener varias cuentas, las direcciones de correo electrónico antiguas pueden aparecer por separado o puede haber duplicados en los datos. Aun así, la presencia conjunta de números de teléfono, fechas de nacimiento y hashes de contraseñas hace que esta filtración de una comunidad de videojuegos tenga un impacto elevado.

Las categorías de datos verificadas son fechas de nacimiento, direcciones de correo electrónico, nombres, contraseñas, números de teléfono y nombres de usuario. El campo de contraseña debe especificarse como un hash bcrypt. No deben añadirse al registro direcciones físicas, información de pago, datos de identificación oficial, mensajes privados, información de dispositivos, direcciones IP, inventarios dentro de los juegos ni historiales de compras, porque no figuran entre los campos verificados. Que la plataforma continuara posteriormente bajo una marca distinta no constituye evidencia suficiente para añadir nuevas categorías de datos al alcance del incidente.

El mayor riesgo corresponde a los usuarios que reutilizan en otros servicios la contraseña de su cuenta de GamingMonk. En las plataformas de deportes electrónicos y torneos, los usuarios suelen crear cuentas con su correo electrónico personal y su número de teléfono. Esta información puede utilizarse en comunicaciones como invitaciones falsas a torneos, notificaciones de premios, mensajes de verificación de cuentas o de soporte. Al disponer del número de teléfono y la fecha de nacimiento, los atacantes pueden hacer que sus mensajes resulten más personales y convincentes.

También deben prestar atención los jugadores activos en comunidades de videojuegos establecidas en India, los participantes en torneos y quienes utilizan el mismo nombre de usuario en distintas plataformas. Si ese nombre de usuario también se utiliza en redes sociales, plataformas de transmisión en directo o tiendas de videojuegos, aumenta el riesgo de vinculación entre perfiles. Aunque la cuenta ya no esté activa, el riesgo persiste si el número de teléfono y la dirección de correo electrónico siguen siendo utilizables. Por ello, no debe centrarse únicamente en su antigua cuenta de la plataforma.

Si su dirección de correo electrónico figura en este registro, debe asegurarse de que la antigua contraseña de su cuenta de GamingMonk ya no sea válida en ninguna otra cuenta. Si ha utilizado la misma contraseña o una similar en otros servicios, debe cambiarla de inmediato por una contraseña larga, única y difícil de adivinar. Utilizar un gestor de contraseñas reduce el riesgo de reutilización. Aunque el uso de hashes Bcrypt es un método de almacenamiento más robusto, no hace que reutilizar contraseñas sea seguro.

Debe activar la autenticación multifactor en sus cuentas de correo electrónico, videojuegos y redes sociales, en los servicios que impliquen pagos y en las cuentas vinculadas a un número de teléfono. También debe revisar la seguridad de su cuenta con el operador de telefonía y las protecciones frente al cambio de SIM. Si recibe una invitación a un torneo, una notificación de premio, un mensaje de verificación de cuenta o una llamada de soporte de origen desconocido, debe verificar por su cuenta la dirección y el remitente antes de hacer clic en el enlace. También debe tomar en serio los mensajes SMS y las llamadas sospechosas.

El incidente de GamingMonk muestra que los campos recopilados en cuentas de deportes electrónicos y comunidades de videojuegos, como los números de teléfono y las fechas de nacimiento, pueden suponer riesgos a largo plazo. Los usuarios no deben repetir los mismos patrones de contraseñas y nombres de usuario en sus cuentas de torneos, videojuegos y redes sociales. Las cuentas que ya no se utilicen deben cerrarse o mantenerse separadas mediante una contraseña única. Las alertas de seguridad deben permanecer activadas en las cuentas vinculadas a un número de teléfono, y las opciones de recuperación deben revisarse periódicamente.

La principal lección para los proveedores de servicios es que deben centrarse no solo en la seguridad de las contraseñas, sino también en reducir la recopilación de datos personales innecesarios. Los campos como el número de teléfono y la fecha de nacimiento no deben conservarse si no son realmente necesarios; si lo son, los controles de acceso, los registros de auditoría y los plazos de conservación de datos deben gestionarse de forma estricta. Deben utilizarse métodos robustos para almacenar las contraseñas, y los informes de incidentes deben indicar claramente qué campos se vieron afectados y cuáles no se verificaron.

Al consultar el registro de la filtración de GamingMonk, el resultado indica si la dirección de correo electrónico introducida se encuentra en este conjunto de datos verificado. Si el resultado es positivo, deben considerarse en riesgo la dirección de correo electrónico, el nombre, el nombre de usuario, el número de teléfono, la fecha de nacimiento y el hash de contraseña bcrypt. Si el resultado es negativo, significa que no se encontró ninguna coincidencia en este conjunto de datos concreto; esto no demuestra que la persona no se haya visto afectada por otras filtraciones. El resultado debe interpretarse únicamente en el contexto del incidente de GamingMonk.

Las medidas adecuadas son dejar de utilizar por completo la antigua contraseña, cambiar todas las contraseñas reutilizadas, activar la protección multifactor en las cuentas de correo electrónico y videojuegos, revisar las cuentas vinculadas a números de teléfono y reforzar las opciones de seguridad de los servicios que utilizan la fecha de nacimiento para la verificación. No debe considerar que el riesgo es insignificante porque el incidente sea antiguo o la plataforma haya cambiado de propietario. Datos como los números de teléfono y las fechas de nacimiento pueden utilizarse en fraudes dirigidos incluso años después.