OnRPG Filtración de datos

Los tipos de datos observados en este registro son direcciones de correo electrónico, direcciones IP, contraseñas y nombres de usuario. Según la evaluación, las contraseñas se almacenaban como hashes MD5 con sal; las contraseñas antiguas y débiles suponen un riesgo. No se añadieron a la lista de categorías de datos campos no verificados de tarjetas de pago, cuentas bancarias, mensajes privados, historiales médicos ni otros campos de perfil; solo se conservaron los campos respaldados por la evidencia.

La coincidencia de nombres de usuario y direcciones de correo electrónico puede permitir vincular identidades entre cuentas de juegos. Una dirección de correo electrónico por sí sola supone un riesgo de recibir mensajes no deseados; cuando se combina con un número de teléfono, una dirección, una IP, una fecha de nacimiento, una contraseña, un número de identificación, una foto o datos sobre preferencias privadas, resulta más fácil para un atacante crear mensajes personalizados para el usuario. La evaluación del riesgo tuvo en cuenta este efecto combinado.

Se verificó un alcance de 1,04 millones de cuentas en julio de 2016. Se conservaron los aspectos confirmados y se excluyeron los no confirmados. El incidente no se combinó con conjuntos de datos de nombres similares, incidentes de la misma empresa ocurridos en otros períodos ni atribuciones incorrectas.

El registro se limita al dominio onrpg.com y no se ha combinado con otros conjuntos de datos de juegos. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron en el contexto más acotado y preciso posible. Donde había incertidumbre, los indicadores de verificación o los campos del sitio web se ajustaron en consecuencia; así, no se presentó al usuario ninguna atribución incierta de responsabilidad a una marca.

Los grupos de usuarios en riesgo pueden incluir antiguos jugadores con una cuenta de OnRPG y personas que utilizan el mismo nombre de usuario en distintos juegos. Los usuarios que encuentren una coincidencia también deberían evaluar otras cuentas ajenas al servicio en cuestión en las que utilicen el mismo correo electrónico, teléfono, nombre de usuario o patrón de contraseña.

Si se utiliza la misma contraseña en una tienda de juegos, una cuenta de correo electrónico o una red social, el riesgo se traslada a las cuentas actuales. Si el contexto incluye correo electrónico corporativo, cuentas de menores, comunidades de videojuegos, servicios de inteligencia artificial de contenido para adultos, compras minoristas, registros públicos o malware, pueden aumentar los riesgos de ingeniería social y para la privacidad. Los detalles que parecen correctos no son, por sí solos, una señal de confianza.

Los usuarios afectados deberían cambiar su contraseña de OnRPG y las de todas las cuentas de juegos, correo electrónico y redes sociales en las que utilicen la misma contraseña. En los registros que contienen un campo de contraseña, deben actualizarse todas las cuentas que utilicen esa misma contraseña; en los registros sin ese campo, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono, las notificaciones falsas, la privacidad y la vinculación de identidades.

En lugar de hacer clic en los enlaces de un mensaje, escriba manualmente la dirección del servicio correspondiente o utilice la entrada guardada en un gestor de contraseñas de confianza. No dé por válidos los mensajes sobre envíos, alertas de cuenta, recompensas de juegos, soporte, registros públicos, notificaciones de seguridad, ofertas de empleo o renovaciones de suscripciones sin verificarlos por un canal independiente.

En las cuentas de juegos y foros se deben utilizar contraseñas únicas, limitar la información del perfil y usar nombres de usuario distintos. Los usuarios deberían eliminar periódicamente cuentas antiguas, campos de perfil innecesarios, nombres de usuario repetidos e información desactualizada de teléfono y dirección. Una contraseña única para cada servicio y la verificación en dos pasos, siempre que sea posible, deberían ser una norma básica.

Los proveedores de servicios deben minimizar los datos, proteger sólidamente las contraseñas, supervisar los registros de acceso, eliminar los campos innecesarios y tener preparados los procesos de notificación a los usuarios. Las comunidades de videojuegos antiguas pueden seguir utilizándose para volver a probar contraseñas años después. Explicar el alcance con precisión también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

Primero, compruebe este registro con su dirección de correo electrónico. Si encuentra una coincidencia, debe asumir que los campos de nombre de usuario, IP y contraseña pueden estar en riesgo y eliminar las contraseñas antiguas de juegos. La ausencia de una coincidencia no descarta por completo que se haya utilizado otro correo electrónico o reutilizado una contraseña antigua; también deben revisarse las cuentas críticas.

Este registro mantuvo su estado de verificado; se corrigieron la palabra problemática y el error de sector del texto anterior. En esta revisión, los campos de datos se conservaron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco como texto original, no se incluyeron campos sin verificar y el indicador de sensibilidad se utilizó únicamente cuando el contexto de riesgo lo justificaba.