Filtración de datos de Minecraft World Map de 2016

Las categorías de datos verificadas en este incidente son direcciones de correo electrónico, direcciones IP, contraseñas y nombres de usuario. Dado que el campo de contraseña se describe como un hash con sal, no debe afirmarse que las contraseñas estuvieran en texto sin formato; no obstante, los atacantes pueden intentar adivinar o descifrar contraseñas débiles. Cuando la dirección de correo electrónico y el nombre de usuario aparecen juntos, resulta más fácil vincular cuentas. Las direcciones IP pueden aportar contexto sobre la ubicación aproximada de la conexión, el proveedor de internet o información de sesiones anteriores. Como en los foros de juegos en línea es habitual utilizar el mismo alias en otros foros, servidores o cuentas de redes sociales, no debe considerarse que el alcance de este conjunto de datos se limita a una sola cuenta del sitio.

El riesgo principal es la reutilización de contraseñas. Si el usuario ha utilizado la contraseña de su cuenta de Minecraft World Map en cuentas de correo electrónico, plataformas de juegos, foros, redes sociales o compras, esta filtración puede dar lugar a intentos de inicio de sesión en otras cuentas. La dirección de correo electrónico y el nombre de usuario permiten personalizar los mensajes de phishing; el atacante puede enviar mensajes relacionados con la antigua cuenta del juego, el intercambio de mapas, una invitación a un servidor o la verificación de la cuenta. La información de la IP por sí sola no proporciona una ubicación exacta, pero, combinada con otros campos, puede aportar más información al perfil de los hábitos de juego y la identidad en línea del usuario.

La fecha del incidente verificado se sitúa aproximadamente en enero de 2016 y se conserva en el sistema con la fecha de catálogo del 15 de enero de 2016; esto no establece el día exacto del incidente. Tanto la fecha de incorporación del registro como la de modificación de la fuente figuran como el 29 de agosto de 2016. El número de cuentas únicas es de 71 081. Las categorías de datos se limitan a nombres de usuario, direcciones de correo electrónico, direcciones IP y hashes de contraseñas con sal. Las cifras de personas afectadas, los campos de datos y las afirmaciones de actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente.

El sitio Minecraft World Map tiene como finalidad compartir mapas de Minecraft; por tanto, el incidente debe evaluarse en el ámbito de la seguridad de las cuentas de comunidades de jugadores y foros, y no como una vulneración general de una red social. Que la cuenta del sitio siga activa o no en la actualidad no implica que la cuenta de Minecraft del usuario se haya visto comprometida directamente ni que se haya filtrado información de la licencia del juego. El registro solo muestra los campos de datos pertenecientes a la cuenta del sitio. Mantener estos límites es importante para recomendar al usuario las medidas adecuadas: el riesgo reside principalmente en utilizar el mismo patrón de contraseña en otros servicios y en vincular la antigua identidad de juego con otras cuentas.

El grupo de mayor riesgo está formado por personas que han creado una cuenta en el sitio Minecraft World Map, han utilizado el mismo nombre de usuario en distintos foros de juegos y han reutilizado la misma contraseña, o una similar, en otras cuentas. Dado que la proporción de usuarios jóvenes en las comunidades de Minecraft puede ser elevada, es habitual que las cuentas antiguas queden olvidadas durante años. Si un usuario siguió utilizando posteriormente variantes de una contraseña que tenía en la infancia o la adolescencia, una antigua filtración de un foro podría afectar a sus cuentas actuales. Las personas que utilizan la misma dirección de correo electrónico en plataformas de juegos, redes sociales y su cuenta de correo corren un mayor riesgo de que se vinculen sus cuentas.

El riesgo de vinculación de perfiles aumenta para los administradores de servidores, los creadores de mapas, los usuarios activos en comunidades de mods y los jugadores que comparten contenido con alias reconocidos. Los atacantes pueden utilizar el antiguo nombre de usuario para crear mensajes que simulen propuestas de colaboración, invitaciones a servidores o intercambios de archivos de mapas. La dirección IP y la información del correo electrónico pueden hacer que estos mensajes resulten más convincentes. Por tanto, quien encuentre una coincidencia con sus datos debe revisar no solo la antigua cuenta del foro, sino también el ecosistema de juegos asociado al mismo nombre de usuario y correo electrónico.

Si utiliza la misma contraseña o un patrón similar en otras cuentas, debe elegir una contraseña única para cada servicio. Dé prioridad a las cuentas de correo electrónico, las plataformas de juegos, las redes sociales, los foros y los servicios que impliquen pagos. En las cuentas que admitan autenticación multifactor, active esta función y revise las sesiones activas y los canales de recuperación. Utilizar un gestor de contraseñas es una de las soluciones más prácticas para evitar la reutilización de contraseñas de foros antiguos.

Examine con atención los mensajes sobre mapas de Minecraft, invitaciones a servidores, contenido gratuito, verificación de cuentas o intercambio de archivos para detectar posibles intentos de phishing. Que un mensaje proceda de un antiguo nombre de usuario o una dirección de correo electrónico conocida no demuestra que sea fiable. No descargue archivos desconocidos ni acceda a páginas de inicio de sesión mediante enlaces de correo electrónico, y mantenga actualizado el software de seguridad de los dispositivos utilizados para sus cuentas de juegos. Revise también las alertas de inicio de sesión inesperadas, los registros de sesiones por región y las notificaciones sobre la seguridad de la cuenta, especialmente si se ha expuesto su dirección IP.

A largo plazo, utilizar una dirección de correo electrónico independiente para las cuentas de juegos y foros dificulta que las filtraciones anteriores de comunidades se vinculen con sus cuentas personales principales. Mantener el mismo nombre de usuario en todas las plataformas puede facilitar recordarlo, pero aumenta el riesgo de vinculación de perfiles. Revise periódicamente sus antiguas cuentas de foros, perfiles de intercambio de mapas y registros en comunidades de jugadores. Si los servicios que ya no utiliza ofrecen la posibilidad de cerrar las cuentas o reducir la información personal, considere hacerlo.

La seguridad de las contraseñas requiere constancia. Incluso si los hashes de contraseñas con sal se ven comprometidos, los usuarios que emplean contraseñas robustas y únicas corren menos riesgo. Por el contrario, las contraseñas cortas, predecibles o reutilizadas pueden causar problemas incluso mucho tiempo después. Una estrategia segura para las comunidades de jugadores incluye contraseñas únicas, autenticación multifactor, respuestas impredecibles a las preguntas de seguridad, revisión de sesiones antiguas y, como elemento central, la protección de la cuenta de correo electrónico. De este modo, una antigua filtración de un foro causa menos daño a la seguridad de las cuentas actuales de juegos y de uso personal.

La aparición de una coincidencia en este registro indica que la dirección de correo electrónico o la cuenta asociada figura entre las cuentas verificadas del conjunto de datos de Minecraft World Map. Una coincidencia no demuestra que la cuenta del juego Minecraft, la información de pago o el contenido de los mensajes privados estén incluidos en este conjunto de datos. Los campos verificados son el nombre de usuario, la dirección de correo electrónico, la dirección IP y el hash de contraseña con sal. Al interpretar correctamente este límite, el usuario debe dar prioridad a dejar de reutilizar contraseñas y proteger sus cuentas en comunidades de jugadores.

El primer paso es identificar todas las cuentas de juegos, foros y redes sociales abiertas con el mismo correo electrónico y patrones de contraseña similares. A continuación, empezando por las cuentas más importantes, cambie a contraseñas únicas, active la autenticación de dos factores y cierre las sesiones activas. Examine con cautela los antiguos mensajes de comunidades de Minecraft, los enlaces a archivos de mapas y las invitaciones a servidores. Las cifras de personas afectadas, los campos de datos y las afirmaciones de actores de amenazas que no se hayan verificado no se consideran parte del alcance público del incidente.