Filtración de datos de los foros de MyPirata.me en 2019

Los tipos básicos de datos que pueden verificarse en el registro de los foros de MyPirata.me son direcciones de correo electrónico, nombres de usuario, direcciones IP, fechas de registro y hashes de contraseñas. La dirección de correo y el nombre de usuario pueden servir para vincular la identidad de una persona entre distintos foros, comunidades de videojuegos o plataformas sociales. La dirección IP, por su parte, aporta información de red correspondiente al momento del registro o a las sesiones, lo que puede ofrecer pistas adicionales sobre la ubicación geográfica o el proveedor de servicios. La fecha de registro también ayuda a conocer la antigüedad de la cuenta y qué usuarios podrían mantener prácticas antiguas al elegir sus contraseñas.

Que el campo de contraseña aparezca como un hash supone un perfil de riesgo distinto al de una filtración de contraseñas en texto plano. El valor hash por sí solo no es una contraseña que pueda leerse directamente; sin embargo, las contraseñas débiles, cortas o reutilizadas pueden recuperarse a partir de sus hashes mediante ataques de diccionario. Si los usuarios del foro han utilizado el mismo nombre de usuario y una contraseña similar en otras comunidades, una filtración antigua podría aprovecharse años después para intentar comprometer sus cuentas. Por tanto, el riesgo no se limita a la cuenta de MyPirata, sino que también se extiende a otros servicios en los que se haya utilizado el mismo correo, el mismo nombre de usuario o contraseñas de una misma familia.

El alcance principal utilizado en este registro es de 503 194 registros de usuarios. En algunos índices secundarios aparecen cifras similares, pero distintas, como 503 285, 503 696 o 506 439. Estas diferencias pueden deberse al procesamiento de filas duplicadas, al recuento de espacios vacíos, a la combinación de distintas secciones de tablas o a que cada índice depure las filas de manera diferente. Por ello, la cifra más alta no se ha incorporado automáticamente al recuento principal. El valor principal que se muestra al usuario se ha mantenido en consonancia con el registro existente y con el nivel mínimo común de verificación.

Se considera que el incidente ocurrió en diciembre de 2019; sin embargo, en las fuentes accesibles, su incorporación o aparición en los índices figura en fechas posteriores. Por tanto, sería engañoso utilizar la fecha de importación técnica de 2026 que consta en el sistema como si fuera la fecha de la filtración o la de su primera aparición en una fuente externa. La fecha de incorporación del registro debería situarse en noviembre de 2024; aun así, el texto público no debe presentar el incidente como si fuera nuevo. El registro debe entenderse como un riesgo para la seguridad de las cuentas relacionado con datos antiguos de un foro que vuelven a aparecer años después.

El primer grupo en riesgo lo forman quienes abrieron una cuenta en los foros de MyPirata.me con la misma dirección de correo electrónico. Aunque estos usuarios ya no recuerden su cuenta, la coincidencia entre el correo y el nombre de usuario puede ser valiosa para un atacante. Los nombres de usuario de los foros suelen reutilizarse en cuentas de videojuegos, anime, redes sociales o mensajería. Encontrar el mismo alias en varios lugares facilita la vinculación de los perfiles de un usuario y hace que los mensajes dirigidos específicamente a esa persona parezcan más convincentes.

El segundo grupo en riesgo está formado por quienes utilizan la misma contraseña o una similar en distintos foros, cuentas de videojuegos, cuentas de correo o plataformas sociales. Si se logra recuperar la contraseña a partir de su hash, el atacante podría probarla también en otros servicios. El tercer grupo incluye a los usuarios que podrían verse afectados al relacionar campos como una dirección IP antigua y la fecha de registro con su contexto personal. Esta información por sí sola podría no bastar para un robo de identidad; sin embargo, combinada con el correo, el nombre de usuario y el riesgo asociado a la contraseña, puede reforzar los intentos de phishing dirigido y de toma de control de cuentas.

Los usuarios que figuren en el registro de los foros de MyPirata.me deberían dejar de utilizar por completo la contraseña antigua que usaban en el foro o en comunidades similares. Añadir un número al final de la contraseña antigua o cambiar letras minúsculas por mayúsculas no es suficiente. La opción más segura es utilizar una contraseña larga y única para cada servicio y guardar estas contraseñas en un gestor de contraseñas fiable. El usuario también debería revisar las cuentas de otros foros, videojuegos, redes sociales y servicios de mensajería creadas con el mismo correo y nombre de usuario.

La protección de la cuenta de correo también debe ser prioritaria. Debe contar con una contraseña robusta y autenticación multifactor activada, ya que es el punto central para restablecer las contraseñas de otros servicios. El usuario debería cerrar las sesiones que no reconozca, comprobar su correo y teléfono de recuperación y revisar si hay reenvíos automáticos o ajustes de seguridad sospechosos. En lugar de pulsar enlaces en notificaciones falsas relacionadas con foros o videojuegos, conviene iniciar sesión desde la dirección conocida del servicio. Los datos antiguos de foros pueden utilizarse en mensajes fraudulentos que apelan a la nostalgia o a la renovación de la cuenta.

Este registro muestra que no debe subestimarse la importancia de las cuentas de foros. Los usuarios a menudo no consideran los foros antiguos como servicios críticos; sin embargo, si el mismo nombre de usuario, correo y patrón de contraseña se vincula con otras cuentas, una filtración de un foro que parece menor puede ser el inicio de una cadena de acceso más amplia. A largo plazo, deberían utilizarse contraseñas distintas para cada comunidad, videojuego y cuenta social, y tenerse en cuenta las implicaciones para la privacidad de repetir alias en distintos contextos. Las identidades personales y profesionales deberían mantenerse separadas en la medida de lo posible.

Para las organizaciones, estos registros recuerdan el riesgo de que los empleados utilicen sus direcciones de correo corporativo en foros personales. Que un correo de empresa aparezca en una filtración antigua de un foro no significa directamente que se haya accedido a los sistemas de la empresa; sin embargo, puede servir como punto de partida para el phishing dirigido. Los equipos de seguridad deberían mitigar este riesgo mediante comprobaciones de contraseñas filtradas, autenticación multifactor, alertas sobre sesiones de riesgo y formación de concienciación para los empleados. Aunque se cierren las cuentas antiguas de comunidades, el mismo correo y nombre de usuario pueden seguir presentes en otros servicios.

Un usuario que vea en LeakData un resultado correspondiente a los foros de MyPirata.me debería interpretar este registro como una advertencia de seguridad relacionada con una cuenta antigua de un foro. El registro se limita a aproximadamente 503 194 filas, al periodo de diciembre de 2019 y a direcciones de correo electrónico, nombres de usuario, direcciones IP, fechas de registro y hashes de contraseñas. Dado que no hay una notificación oficial, no se ha añadido ninguna afirmación categórica sobre el método técnico del incidente, el grupo atacante ni el nivel de acceso al servidor del foro. Este enfoque mantiene las medidas prácticas de seguridad y reduce el riesgo de una falsa alarma.

El orden adecuado es proteger primero la cuenta de correo, revisar después las cuentas de foros y videojuegos creadas con el mismo nombre de usuario o correo y, por último, establecer contraseñas únicas en todos los servicios donde se utilizaba la contraseña antigua. Si el nombre de usuario se reutiliza en otras plataformas, también deberían revisarse los ajustes de privacidad y la información del perfil visible públicamente. Si una cuenta se registró con una dirección de correo corporativo, el resultado debería comunicarse al equipo de seguridad. De este modo, puede gestionarse el riesgo de un registro antiguo de un foro antes de que dé lugar a intentos más amplios de toma de control de cuentas.