Filtración de datos de HeatGames

Este registro reúne direcciones de correo electrónico, direcciones IP, información de país o ubicación geográfica y hashes de contraseñas. Las direcciones de correo electrónico y los hashes de contraseñas representan uno de los principales riesgos de intentos de acceso no autorizado a las cuentas. El método MD5 con sal se considera débil según los estándares actuales de almacenamiento de contraseñas; por ello, los intentos de adivinar contraseñas sin conexión pueden resultar más eficaces si estas son cortas, se basan en palabras de diccionario o se reutilizan. La dirección IP y la información de país también pueden ayudar a determinar el perfil regional del jugador.

En las comunidades de videojuegos, una misma combinación de correo electrónico y contraseña puede reutilizarse en muchos servicios, como foros, clientes de juegos, plataformas de compraventa, aplicaciones de chat o perfiles en redes sociales. Por tanto, si la contraseña de una cuenta de HeatGames también se utiliza en otras cuentas, el riesgo no se limita a un único sitio de juegos. Los atacantes pueden enviar mensajes falsos con el pretexto de recuperar una cuenta de juego, ofrecer objetos gratuitos, invitar a torneos, dar acceso a servidores privados, proporcionar herramientas para hacer trampas, ofrecer acceso a versiones beta o verificar una cuenta. La información de IP y país puede hacer que estos mensajes parezcan proceder de la región del usuario o estar dirigidos específicamente a su comunidad de videojuegos.

El número verificado de direcciones de correo electrónico únicas es de 647 896, y el incidente se remonta al 12 de junio de 2021. El número de filas asociadas con HeatGames puede variar en conjuntos de datos más amplios; sin embargo, esta diferencia no significa que haya más usuarios únicos. Las categorías de datos son direcciones de correo electrónico, ubicaciones geográficas, direcciones IP y contraseñas. Las contraseñas deben entenderse como hashes en formato MD5 con sal o vBulletin, no como texto plano.

Los campos no verificados deben excluirse expresamente de este registro. El nombre de usuario, el número de teléfono, la dirección física, la tarjeta de pago, el historial de compras, los mensajes privados, el identificador del dispositivo y el documento oficial de identidad no forman parte de estas categorías de datos. El campo de ubicación geográfica no equivale a una dirección completa; debe interpretarse principalmente como información sobre el país o información regional similar. La descripción no debe confundir el número de filas del registro con el número de direcciones de correo electrónico únicas y debe explicar el riesgo de los hashes de contraseñas débiles con claridad, pero sin exageraciones.

Los usuarios con mayor riesgo son quienes utilizan en otros juegos, foros, redes sociales o cuentas de correo electrónico la misma dirección de correo electrónico y contraseña que en su cuenta de HeatGames. Si se utiliza la misma contraseña en distintos servicios, los atacantes pueden aprovechar esta información para realizar intentos automatizados de inicio de sesión. Como los usuarios de las comunidades de videojuegos suelen mantener el mismo apodo y la misma dirección de correo electrónico durante mucho tiempo, incluso una filtración antigua puede utilizarse para acceder a cuentas actuales.

Los usuarios cuyos registros incluyen la dirección IP y el país pueden ser objeto de campañas falsas de juegos o invitaciones a comunidades dirigidas a su región. Los mensajes que aparentan ofrecer herramientas para hacer trampas, moneda gratuita dentro del juego, objetos especiales, acceso a servidores o comprobaciones de seguridad de la cuenta son especialmente arriesgados. Como estos registros no contienen información de pago ni direcciones físicas, el principal riesgo no es la filtración de datos financieros; los riesgos más importantes son la toma de control de cuentas por la reutilización de contraseñas, la pérdida de bienes dentro del juego, la vinculación de perfiles en redes sociales y el phishing dirigido.

Los usuarios cuyas direcciones de correo electrónico aparecen en este registro deben dejar de considerar segura la contraseña que utilizaban en HeatGames. Si han utilizado la misma contraseña o una similar en otras cuentas, deben cambiarla en cada una de ellas por una contraseña única y robusta. Deben dar prioridad a las cuentas de correo electrónico, las plataformas de videojuegos, las plataformas de compraventa relacionadas con juegos, los foros, las aplicaciones de chat y las cuentas de redes sociales. Deben activar la autenticación de dos factores en las cuentas críticas y, si es posible, optar por una aplicación de autenticación o una llave de seguridad física.

Se deben evitar los enlaces de mensajes que aparentan ofrecer objetos gratuitos, servidores privados, acceso a versiones beta, verificación de cuentas, invitaciones a torneos o alertas de seguridad. Se debe acceder a las cuentas a través del dominio conocido o de la aplicación oficial. No se deben descargar herramientas de juego desconocidas, archivos para hacer trampas ni paquetes de modificaciones. Si aparecen mensajes inesperados de restablecimiento de contraseña, alertas de nuevos dispositivos o sesiones no reconocidas en la cuenta de correo electrónico, se deben cerrar las sesiones y revisar las opciones de recuperación.

A largo plazo, las contraseñas únicas, los alias de correo electrónico separados y la autenticación de dos factores proporcionan una protección básica para las cuentas de juego. Aunque se olviden las cuentas creadas en antiguos sitios de juegos, esas mismas contraseñas pueden poner en peligro otras cuentas años después. Los usuarios deben revisar periódicamente sus antiguas cuentas de juegos, foros y comunidades, cerrar las que ya no utilicen y dificultar que se vincule fácilmente un mismo nombre de usuario entre distintas plataformas.

Para los proveedores de servicios, este incidente demuestra el riesgo a largo plazo que suponen los hashes de contraseñas débiles en antiguos sitios de juegos. Los métodos antiguos, como MD5 con sal, no cumplen los requisitos modernos de almacenamiento de contraseñas. Dado que las cuentas de las comunidades de videojuegos pueden estar vinculadas a bienes dentro del juego con valor monetario, son importantes el uso de métodos robustos de hash de contraseñas, el seguimiento de sesiones, la autenticación de dos factores, el restablecimiento de contraseñas tras una filtración y la eliminación segura de los datos antiguos. Las bases de datos antiguas no deben dejarse sin protección, ni siquiera en sitios inactivos.

Si su dirección de correo electrónico aparece en este registro, identifique primero todas las cuentas que utilizan la misma contraseña. Su cuenta de correo electrónico y sus principales cuentas de juego son prioritarias. Después, evalúe con cuidado los mensajes de comunidades de videojuegos que ofrezcan objetos gratuitos, verificación de cuentas, herramientas para hacer trampas, servidores privados o torneos. Aunque un mensaje identifique correctamente su país o una antigua cuenta de juego, eso no significa que sea fiable.

El principal riesgo de la filtración de HeatGames es la circulación de direcciones de correo electrónico y hashes de contraseñas débiles junto con información de IP y ubicación. Las medidas adecuadas son dejar de reutilizar contraseñas, activar la autenticación de dos factores, revisar los últimos inicios de sesión en las cuentas de juego y evitar los enlaces falsos relacionados con videojuegos. Este registro no debe interpretarse como una filtración de tarjetas de pago o direcciones físicas; el plan para gestionar el riesgo debe basarse en los datos verificados de correo electrónico, IP, ubicación y hashes de contraseñas.