Filtración de datos de Neopets de 2013

Los campos verificados son fechas de nacimiento, direcciones de correo electrónico, géneros, ubicaciones geográficas, direcciones IP, nombres, contraseñas en texto plano y nombres de usuario. Una contraseña en texto plano significa que los datos contenían una contraseña legible, en lugar de un hash de la contraseña. Esto supone un riesgo especialmente grave para quienes reutilizaron la misma contraseña en otros servicios. Los nombres de usuario y las direcciones de correo electrónico también pueden ayudar a un atacante a vincular distintas cuentas de una misma persona.

La fecha de nacimiento, el nombre, el género y la ubicación pueden hacer que los mensajes sobre asistencia para la cuenta, recompensas dentro del juego, verificación de edad o autorización parental parezcan adaptados a una persona concreta. Una dirección IP por sí sola no permite determinar una ubicación física ni las sesiones actuales, pero puede facilitar la selección de objetivos si se combina con otros detalles. La enumeración de estos campos no significa que todas las coincidencias incluyan cada uno de ellos.

Las fuentes verificadas no enumeran tarjetas de pago ni direcciones físicas. Esta delimitación significa que la información de pago no forma parte del alcance demostrado de este incidente; no prueba que no se viera afectada otra información del servicio. Considere una coincidencia como una señal de riesgo personal y no acepte como hechos otros tipos de datos cuya presencia no se haya verificado.

El recuento de cuentas de referencia de este registro es de 26 892 897, y la fecha de la filtración es el 5 de mayo de 2013. La aparición de datos en un entorno de intercambio en línea en 2016 no cambia la fecha de la filtración a 2016. Algunas afirmaciones históricas aludían a un total bruto mayor, pero la medida utilizada en esta página es el alcance verificado de direcciones de correo electrónico únicas. Un total bruto no equivale a un recuento de personas individuales ni de jugadores activos.

Neopets es un servicio de juegos y comunidad en línea con un público mundial. Que una persona aparezca en este registro no demuestra que tenga una cuenta en otro servicio de juegos ni que también figure en un incidente posterior e independiente de Neopets. Los incidentes que compartan una dirección de correo electrónico no deben sumarse; cada uno debe evaluarse según su propia fecha y sus campos verificados.

La información verificada no permite establecer la vía de acceso inicial, la identidad de un atacante, el momento en que se copió por primera vez cada archivo de datos ni qué detalles de perfil proporcionó cada persona. La fecha identifica el periodo asociado al incidente; por sí sola, no indica el último inicio de sesión ni el estado actual de acceso a una cuenta. Estas limitaciones no reducen el riesgo de las contraseñas en texto plano, pero exigen cautela ante afirmaciones técnicas que no puedan confirmarse.

La máxima prioridad debe darse a quienes reutilizaron una contraseña de Neopets en un servicio de correo electrónico, una red social, un juego, un sitio de compras u otro servicio con cuenta de usuario. La presencia de una contraseña en texto plano supone el riesgo de que esa misma contraseña se pruebe en otros sistemas. Incluso quienes llevan años sin usar una antigua cuenta de juegos pueden verse afectados si después utilizaron la misma dirección de correo electrónico o contraseña en un servicio más reciente.

Las personas con coincidencias que incluyan fecha de nacimiento, nombre real y nombre de usuario deben estar atentas a intentos personalizados de ingeniería social. Un atacante puede recurrir a temas como objetos del juego, seguridad de la cuenta, restricciones de edad o recompensas de cumpleaños. Que un mensaje contenga un nombre de usuario o una fecha de nacimiento correctos no demuestra que el remitente represente al servicio legítimo.

También conviene revisar las cuentas antiguas creadas durante la infancia o compartidas con familiares. Los mensajes sobre cuentas de padres o hijos pueden inducir a revelar más datos personales. El registro no enumera direcciones físicas, por lo que no se puede afirmar que sea posible dirigir ataques detallados fuera de internet contra todas las personas. Aun así, los engaños en línea y los intentos de recuperación de cuentas deben tomarse en serio.

Primero, identifique en qué otros servicios se utilizó una contraseña que pudiera haberse usado en Neopets. Si utiliza la misma contraseña o una similar en cualquier servicio, cámbiela de inmediato por una larga y única. Dado que una cuenta de correo electrónico sirve como vía de recuperación para muchos servicios, dé prioridad a revisar su contraseña y la configuración de autenticación multifactor.

Examine con cuidado las comunicaciones inesperadas que se presenten como mensajes de Neopets o de asistencia del juego, o que traten sobre un objeto del juego o una cuenta antigua. Antes de abrir un enlace, evalúe por separado el dominio del remitente, la acción solicitada y la dirección real de inicio de sesión. Para confirmar un aviso sospechoso, acceda directamente a la dirección oficial conocida del servicio en lugar de utilizar el enlace del mensaje.

Revise los dispositivos que no reconozca, las sesiones activas, las direcciones de correo electrónico de recuperación y las aplicaciones conectadas en sus cuentas importantes. Si detecta un acceso desconocido, cierre la sesión, actualice los datos de recuperación y mantenga activadas las alertas de seguridad. Utilice el canal oficial de asistencia del servicio correspondiente si observa actividad sospechosa y nunca proporcione un código de un solo uso, una contraseña ni un documento de identidad en respuesta a una petición no solicitada.

Utilizar una contraseña larga y distinta para cada servicio en línea limita el impacto de antiguas exposiciones de contraseñas en texto plano. Un gestor de contraseñas puede generar contraseñas seguras y reducir su reutilización. Cuando esté disponible la autenticación multifactor, es preferible utilizar una aplicación de autenticación o una llave de seguridad física. Los códigos por mensaje de texto añaden protección, pero no pueden impedir todos los intentos de fraude convincentes.

Revise periódicamente la privacidad de sus perfiles de juegos y redes sociales. Comparta detalles como la fecha de nacimiento, el nombre real, el nombre de usuario, la lista de amigos o la ubicación solo cuando sea necesario. Reducir la reutilización del mismo nombre de usuario y de los mismos datos de perfil en distintas comunidades dificulta la vinculación de información pública. Eliminar datos innecesarios de cuentas antiguas deja menos información contextual que pueda utilizarse para dirigir ataques en el futuro.

Revise la seguridad de la recuperación de cuentas a intervalos regulares. Mantenga actualizados las direcciones de correo electrónico secundarias, los números de teléfono, los dispositivos conectados, las sesiones activas y las reglas de reenvío. Actúe con rapidez si detecta un inicio de sesión, una regla de reenvío o un cambio en la configuración de seguridad que no reconozca. Estos hábitos protegen todas sus cuentas en línea, no solo a las personas con coincidencias en este incidente de Neopets.

Utilice la comprobación del registro de esta página para saber si su dirección de correo electrónico coincide con el incidente de Neopets de 2013. Una coincidencia indica que la dirección está dentro del alcance verificado; no demuestra que todos los tipos de datos aparecieran en su fila del registro, que una cuenta actual haya sido vulnerada ni que usted también se viera afectado por un incidente posterior e independiente. Considere el resultado como una señal de riesgo personal que le ayude a priorizar la revisión de contraseñas reutilizadas y la seguridad de la cuenta.

Si no hay coincidencia, puede seguir siendo útil revisar direcciones de correo electrónico antiguas, nombres de usuario alternativos y cuentas de juegos que ya no utilice. La ausencia de coincidencia no garantiza que no existan datos personales en otros lugares de internet. Las contraseñas únicas, la autenticación multifactor, la revisión periódica de las cuentas y la confirmación independiente de comunicaciones sospechosas siguen siendo la defensa más fiable.