Filtración de datos de Lanwar

El aspecto más crítico del incidente de Lanwar son las contraseñas en texto plano. Si una contraseña se encuentra en un formato directamente legible, en lugar de un hash o un formato cifrado, el atacante no necesita intentar descifrarla. Si se reutiliza la misma contraseña en el correo electrónico, tiendas de videojuegos, servicios de chat, foros, redes sociales o cuentas de pago, el riesgo no se limita a la cuenta de Lanwar. La combinación de dirección de correo electrónico y nombre de usuario también puede utilizarse para vincular perfiles de distintas comunidades de videojuegos.

El nombre completo y la dirección física vinculan la identidad en línea con información del mundo real. Estos campos pueden hacer más convincentes los mensajes de phishing dirigido que se presentan como falsas notificaciones de actividad, campañas de patrocinadores, avisos de envío o premios de torneos. La dirección física también supone un riesgo para la privacidad de quienes participan en eventos de videojuegos. Por lo tanto, la evaluación del incidente no debe limitarse a la necesidad de cambiar una contraseña; deben considerarse conjuntamente la seguridad del correo electrónico, la reutilización de nombres de usuario y el posible uso indebido de la información sobre direcciones.

La fecha verificada de la filtración de Lanwar debe registrarse como el 28 de julio de 2018, y el número confirmado de registros es de 45 120. El incidente debe considerarse en el contexto de la comunidad de encuentros LAN y eventos de videojuegos. Las fuentes indican que el equipo de Lanwar detectó el incidente, que este podría haberse prolongado durante los meses anteriores y que contactó a las autoridades tras observar un intento de phishing o de extorsión con Bitcoin relacionado con los datos. Estos detalles explican el contexto del riesgo; sin embargo, no deben utilizarse para ampliar las categorías de datos verificadas.

Las categorías de datos verificadas son direcciones de correo electrónico, nombres, contraseñas, direcciones físicas y nombres de usuario. Debe señalarse que las contraseñas están en texto plano. Los datos de tarjetas de pago, cuentas bancarias, números de teléfono, direcciones IP, fechas de nacimiento, mensajes privados, compras dentro de videojuegos, documentos de identidad oficiales o información de salud no son campos verificados de este registro. Para comunicar el riesgo con precisión al usuario, la explicación debe mantenerse dentro de estos límites y, si no se ha confirmado la causa técnica del incidente, el método de ataque no debe presentarse como demostrado.

El mayor riesgo corresponde a quienes reutilizan en otras cuentas la contraseña que usaban en su cuenta de Lanwar. En las comunidades de videojuegos, un mismo nombre de usuario puede mantenerse durante mucho tiempo y repetirse en distintas plataformas. Esto facilita que un atacante, al obtener el correo electrónico y el nombre de usuario, establezca vínculos entre perfiles de Steam, Discord, foros, servidores de juegos o redes sociales. Las contraseñas en texto plano también pueden convertir estos vínculos en intentos de toma de control de cuentas.

Quienes asisten presencialmente a los eventos o comparten su dirección durante la inscripción también están expuestos a un riesgo para su privacidad. Cuando una dirección, un nombre completo y un identificador de jugador aparecen juntos, los mensajes falsos sobre entradas, envíos, recompensas, acuerdos de patrocinio o novedades de eventos pueden resultar más convincentes. Si obtiene una coincidencia positiva, no debe restar importancia a una antigua cuenta de eventos; si la contraseña antigua sigue siendo válida en otros servicios, el riesgo persiste en el presente.

Los usuarios cuyas direcciones de correo electrónico figuren en este registro deben asegurarse de que la contraseña antigua de su cuenta de Lanwar ya no sea válida en ninguna otra cuenta. Si han utilizado la misma contraseña o una similar en otros servicios, deben sustituirla de inmediato por una contraseña larga, única y difícil de adivinar. Deben revisar con prioridad las cuentas de correo electrónico, tiendas de videojuegos, servicios de chat, redes sociales y cuentas de pago. Si la cuenta de correo electrónico se ve comprometida, muchas más cuentas quedan en riesgo a través de los procesos de restablecimiento de contraseñas.

Debe activarse la autenticación multifactor en todas las cuentas importantes que la admitan. Al recibir una notificación de actividad sospechosa, un premio de torneo, un envío, una invitación de un patrocinador o un mensaje de verificación de cuenta, debe comprobarse cuidadosamente el nombre de dominio y el remitente antes de hacer clic en el enlace. Quienes hayan utilizado un nombre de usuario antiguo en distintas comunidades de videojuegos deben revisar la privacidad de sus perfiles y reducir la exposición pública de direcciones o datos de contacto. Si se detecta un inicio de sesión inesperado o se recibe un mensaje inesperado de restablecimiento de contraseña o una notificación inesperada sobre un dispositivo, deben cerrarse las sesiones de la cuenta y actualizarse los datos de recuperación.

El incidente de Lanwar demuestra que las comunidades de videojuegos pequeñas y medianas también pueden verse afectadas por problemas de seguridad graves. Los usuarios deben utilizar una contraseña única para cada cuenta de videojuegos, foros, eventos, chat y redes sociales. Un gestor de contraseñas es una herramienta práctica para detectar contraseñas reutilizadas en cuentas antiguas y generar contraseñas seguras distintas para cada cuenta. Las cuentas de eventos y foros que ya no se utilicen deben cerrarse o aislarse mediante una contraseña única.

La lección fundamental para los responsables de comunidades y eventos es que las contraseñas nunca deben almacenarse en texto plano, bajo ninguna circunstancia. Los métodos modernos y rentables para generar hashes de contraseñas, las restricciones de acceso, las auditorías de seguridad periódicas y las notificaciones oportunas a los usuarios desempeñan un papel crucial en la protección de estos datos de cuentas. Los campos recopilados para la logística de los eventos, como las direcciones físicas, solo deben conservarse durante el tiempo necesario, y debe informarse claramente a los usuarios de por qué se solicita cada dato.

El resultado de la consulta de un registro de Lanwar indica si la dirección de correo electrónico introducida está presente en este conjunto de datos verificado. Un resultado positivo significa que deben considerarse los riesgos relacionados con el nombre y los apellidos, el nombre de usuario, la dirección física y la contraseña en texto plano asociados a esa dirección de correo electrónico. Un resultado negativo solo indica que no se encontró ninguna coincidencia en este conjunto de datos concreto; no demuestra que la persona no se haya visto afectada por otras filtraciones de comunidades de videojuegos, foros o redes sociales.

Las medidas adecuadas son dejar de utilizar por completo la contraseña antigua, cambiar la contraseña en todas las cuentas que utilicen la misma, activar la protección multifactor en las cuentas de correo electrónico y videojuegos, revisar los perfiles creados con el mismo nombre de usuario y actuar con cautela ante mensajes falsos relacionados con Lanwar o con eventos de videojuegos. Este incidente no debe evaluarse como un riesgo para los datos de pagos o bancarios, sino como un riesgo derivado de las contraseñas en texto plano y de la vinculación de perfiles de comunidades de videojuegos.