Filtración de datos de Mortal Online

Los tipos de datos verificados en los registros de Mortal Online son direcciones de correo electrónico, nombres completos, contraseñas, direcciones físicas y nombres de usuario. La dirección de correo electrónico y el nombre de usuario pueden ayudar a vincular al jugador con sus cuentas en otros foros, juegos, plataformas de streaming o redes sociales. El nombre completo y la dirección física pueden hacer más convincentes los mensajes falsos de atención al cliente o de verificación de la titularidad de una cuenta. Por tanto, el riesgo no se limita a que la cuenta del juego se vea comprometida.

El campo de contraseña está asociado a un formato de hash MD5 sin sal, por lo que las contraseñas débiles y reutilizadas presentan un mayor riesgo. Incluso si se utiliza una contraseña robusta, el hecho de que siga siendo válida en otros servicios ofrece a los atacantes la oportunidad de probarla. Los jugadores suelen utilizar el mismo nombre de usuario en foros, tiendas de juegos, cuentas de streaming y redes sociales; este comportamiento aumenta el riesgo de vinculación de perfiles. Conocer la dirección física también puede aportar un elemento adicional de persuasión a los mensajes falsos de entrega o de confirmación de seguridad.

• El correo electrónico y el nombre de usuario pueden vincularse con otras cuentas de juegos.
• Los hashes de contraseñas aumentan el riesgo de que se descifren las contraseñas débiles.
• El nombre, los apellidos y la dirección pueden hacer más convincentes los mensajes de soporte falsos.
• Si se ha reutilizado la misma contraseña, también pueden verse afectadas cuentas ajenas a los juegos.

Este registro se limitó al nombre Mortal Online, el dominio mortalonline.com, la fecha del 17 de junio de 2018, las 606 637 cuentas afectadas y cinco categorías de datos verificadas. Cuando los datos comenzaron a circular, se mencionó un archivo más pequeño; posteriormente, en un archivo más completo, se verificaron hashes MD5 de contraseñas sin sal, nombres, nombres de usuario y direcciones físicas, además de direcciones de correo electrónico. Por ello, el número de registros y los campos de datos se mantienen a partir del archivo más completo.

No se añadieron al registro datos de tarjetas de pago, información bancaria, fechas de nacimiento, números de teléfono, mensajes privados, objetos del juego, listas de personajes ni documentos de identidad como categorías de datos verificadas. Tampoco se incluyeron en este documento otros juegos, foros o registros de servidores con un nombre similar a Mortal Online. El control de duplicados se realizó a partir del nombre de la marca, el nombre de dominio, la fecha, el número de registros y las categorías de datos. Este enfoque permite mostrar el riesgo real para el usuario sin presentar campos no verificados como información confirmada.

El principal grupo en riesgo está formado por jugadores que tenían una cuenta de Mortal Online antes de 2018 y que también utilizaban el mismo nombre de usuario o la misma contraseña en otros servicios de juegos. La combinación del correo electrónico y el nombre de usuario puede permitir vincular al jugador con sus perfiles en foros, tiendas de juegos, cuentas de streaming o redes sociales. Si también se dispone de la dirección física y el nombre real, los mensajes falsos de recuperación de cuentas o de soporte pueden resultar más personalizados.

Deben extremar las precauciones quienes llevan mucho tiempo utilizando la misma dirección de correo electrónico, no cambian las contraseñas antiguas de sus juegos, utilizan el mismo nombre de usuario en foros de juegos y no han activado la autenticación multifactor en sus cuentas de juegos. En el ámbito empresarial, las comunidades de jugadores, los equipos de las empresas editoras y los usuarios que comercian dentro de los juegos también pueden ser objetivos de ataques. Los atacantes pueden utilizar datos antiguos de juegos como información de apoyo al intentar acceder a cuentas actuales de tiendas o de correo electrónico.

• Jugadores que utilizan contraseñas antiguas en su cuenta de Mortal Online
• Personas que utilizan el mismo nombre de usuario en otras cuentas de juegos y foros
• Usuarios que reutilizan la misma dirección de correo electrónico en tiendas de juegos y cuentas de redes sociales
• Personas cuya dirección física y nombre real coinciden con los de su antiguo perfil del juego

Si encuentra un resultado relacionado con Mortal Online, lo primero que debe hacer es dejar de utilizar por completo la contraseña antigua de esa cuenta y elegir una contraseña nueva y única para cada cuenta en la que haya utilizado la misma. Debe revisar primero las cuentas de correo electrónico, las tiendas de juegos, las plataformas de streaming, las redes sociales, los servicios de pago y las cuentas en la nube. Una pequeña variación de la contraseña no se considera segura; es preferible utilizar una contraseña larga y distinta para cada servicio.

Los enlaces recibidos en nombre de la cuenta del juego o del equipo de soporte deben verificarse por un canal independiente. Debe examinar con atención las alertas de inicio de sesión sospechoso, los mensajes de restablecimiento de contraseñas, las ofertas de compraventa de cuentas de juegos y los mensajes falsos de reembolso. Active la autenticación multifactor en las cuentas de juegos y de correo electrónico que lo permitan, y revise el historial de inicios de sesión y los dispositivos conectados. Dado que se incluye una dirección física, tampoco debe pasar por alto los mensajes falsos de entrega o de verificación.

• Cambie la contraseña de Mortal Online y las de todas las cuentas en las que utilice la misma.
• Utilice la autenticación multifactor en sus cuentas de correo electrónico y de tiendas de juegos.
• Verifique los mensajes de soporte, intercambio, reembolso y recuperación de cuentas por un canal independiente.
• Revise las sesiones desconocidas, los dispositivos conectados y las notificaciones de restablecimiento de contraseñas.

Aunque las cuentas de juegos lleven muchos años olvidadas, los conjuntos de datos antiguos pueden ser valiosos para nuevos intentos de ataque. Los usuarios deben elegir una dirección de correo electrónico separada, una contraseña única y un gestor de contraseñas para sus cuentas de juegos. Repetir el mismo nombre de usuario en distintas plataformas facilita la vinculación de perfiles; por ello, conviene considerar nombres de usuario diferentes o ajustes de privacidad adicionales para las cuentas críticas. Las cuentas antiguas de juegos deben revisarse periódicamente y las que ya no sean necesarias deben cerrarse.

Los responsables de comunidades, las empresas editoras y los usuarios que comercian dentro de los juegos deben extremar las precauciones ante los mensajes falsos de patrocinio, intercambio y soporte. Desde una perspectiva institucional, este registro recuerda a los empleados que no deben reutilizar las contraseñas de sus cuentas personales de juegos en los sistemas de trabajo. Los controles que impiden la reutilización de contraseñas, la autenticación multifactor, las pasarelas de correo electrónico seguras y la formación en concienciación sobre seguridad reducen el impacto secundario de las filtraciones de datos relacionadas con juegos.

Si ve el resultado de Mortal Online en LeakData.io, debe contrastar la dirección de correo electrónico y el nombre de usuario coincidentes, así como sus hábitos de uso de contraseñas antiguas, con el historial de sus propias cuentas. El resultado no significa que siga siendo un jugador activo de Mortal Online hoy; indica que se han expuesto datos de cuentas correspondientes a 2018. Dado que el campo de contraseña está presente, la medida más adecuada es comprobar que la contraseña antigua ya no sea válida en ninguna cuenta actual.

Este registro mantiene su estado de verificado y su alcance se limita a cinco categorías de datos. En lugar de actuar como si se hubieran filtrado datos de tarjetas de pago, mensajes privados o activos del juego, conviene centrarse en el riesgo real que generan el correo electrónico, el nombre de usuario, el nombre real, la dirección y el hash de la contraseña. Con el hábito de utilizar contraseñas únicas, activar la autenticación multifactor y verificar las comunicaciones sospechosas por un canal independiente, los usuarios pueden reducir el impacto de la filtración de Mortal Online en sus cuentas actuales.