Filtración de datos de MagicDuel

Los tipos de datos observados en este registro son direcciones de correo electrónico, direcciones IP, apodos de jugadores y contraseñas. Según la evaluación realizada, las contraseñas están almacenadas en formato bcrypt; aunque es un método de almacenamiento sólido, las contraseñas débiles que se reutilizan entrañan riesgos. Estos campos se evaluaron por separado; no se añadieron a la lista de categorías de datos campos no verificados de tarjetas de pago, cuentas bancarias, documentos oficiales de identidad, mensajes privados, historiales médicos ni otros campos de perfil.

Vincular el apodo de un jugador con su correo electrónico puede relacionar su identidad en el juego con su dirección real de contacto. Aunque una dirección de correo electrónico por sí sola supone un riesgo de correo no deseado y suplantación de identidad, combinarla con el nombre, el teléfono, la dirección, la IP, la fecha de nacimiento o información profesional facilita que un atacante elabore mensajes más personalizados. Por ello, el riesgo se evaluó no solo por el número de registros, sino también por las posibilidades de utilizar los campos de forma conjunta.

Se verificó un alcance de 138 443 cuentas correspondiente a agosto de 2023. Se conservaron los campos de datos verificados y se excluyeron aquellos cuya verificación no había concluido. De este modo, se informa al usuario sobre el registro actual sin alarmarlo en exceso, pero tampoco se subestima el riesgo real.

Se utilizó la categoría Apodos en lugar de Nombres de usuario porque el campo notificado corresponde con mayor precisión al nombre o apodo de un jugador. Si había otros incidentes con un nombre similar al de este registro, no se agruparon en un único incidente de mayor tamaño. La información sobre el dominio, la empresa y el sector se mantuvo en el contexto correcto más acotado posible; esto también evita añadir filtraciones duplicadas o asociadas incorrectamente.

Los grupos de usuarios en riesgo son los jugadores que tienen una cuenta de MagicDuel y las personas que utilizan el mismo apodo en otros juegos. Los usuarios para quienes se encuentre una coincidencia deben tener en cuenta no solo la cuenta del servicio correspondiente, sino también otras cuentas que utilicen el mismo correo electrónico, nombre de usuario o patrón de contraseña.

En las comunidades de videojuegos, la ingeniería social puede llevarse a cabo mediante recompensas falsas, verificaciones de cuentas, invitaciones a eventos o mensajes de compraventa. Para quienes se registran con una dirección de correo electrónico corporativa, el riesgo puede ir más allá de la cuenta personal; los atacantes pueden utilizar el nombre, el cargo, el teléfono, la dirección, las compras, el ID del juego o la información del perfil profesional para enviar mensajes más convincentes. Por tanto, los usuarios no deben considerar la coincidencia como un problema limitado a un único sitio.

Los usuarios afectados deben cambiar la contraseña de MagicDuel y las de todas las cuentas de tiendas de videojuegos, correo electrónico, redes sociales y mensajería en las que utilicen la misma contraseña. En el caso de registros que incluyan un campo de contraseña, se deben cambiar las contraseñas de todas las cuentas que utilicen la misma; si el registro no incluye ese campo, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono y las notificaciones falsas. En ambos casos, la cuenta de correo electrónico debe protegerse con una contraseña segura y exclusiva.

En lugar de hacer clic en los enlaces de un mensaje, se debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No se debe dar por válido ningún mensaje sin comprobarlo por un canal independiente, incluidos los códigos de verificación recibidos por teléfono, las solicitudes de restablecimiento de contraseña y los mensajes sobre envíos, ofertas de empleo, asistencia, suscripciones o seguridad.

Los jugadores deben utilizar una contraseña exclusiva para cada cuenta de juego y de foro, y evitar vincular innecesariamente sus apodos de juego con sus cuentas personales. Se deben revisar y eliminar periódicamente las cuentas antiguas, los números de teléfono y campos de dirección que ya no se utilicen, los nombres de usuario repetidos y los patrones de contraseña reutilizados. Los usuarios deben emplear una contraseña exclusiva para cada servicio y activar la autenticación de dos factores siempre que sea posible.

Para los proveedores de servicios, conservar solo los datos imprescindibles, proteger adecuadamente las contraseñas, supervisar los registros de acceso, eliminar los campos de perfil innecesarios y notificar a los usuarios después de una filtración son requisitos fundamentales. Las deficiencias de seguridad en las cuentas de videojuegos también pueden provocar la pérdida de activos digitales y de reputación en la comunidad. En estos casos, comunicar el alcance con precisión es tan importante como corregir el problema técnico; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

Primero, compruebe este registro con su dirección de correo electrónico. Si se encuentra una coincidencia, debe considerar que los campos de apodo, IP y contraseña podrían estar en riesgo y cambiar la contraseña de todas las cuentas de juegos que utilicen la misma. La ausencia de coincidencias no descarta por completo que haya reutilizado contraseñas anteriormente o empleado otros correos electrónicos asociados al mismo servicio; por ello, también debe revisar por separado sus cuentas más importantes.

Este registro conservó su estado de verificado; el número de registros y los tipos de datos se ajustaron a los valores verificados. En esta revisión, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco con contenido original, no se añadieron campos sin verificar y el indicador de sensibilidad se utilizó solo cuando el contexto de riesgo lo justificaba.