Filtración de datos de PESGaming de 2016

Al evaluar conjuntamente los campos visibles en el registro de PESGaming, el riesgo no procede de un único tipo de dato. Cuando un mismo perfil de usuario contiene direcciones de correo electrónico, nombres de usuario, direcciones IP, información sobre hashes de contraseñas, sales de contraseñas y datos de contraseñas, los atacantes pueden preparar mensajes más personalizados y convincentes. La presencia en el registro de información de contacto verificada o de identificadores verificados de cuentas o perfiles aumenta el riesgo de ingeniería social y de vinculación de perfiles. El contexto adicional de la cuenta que figura en el registro puede facilitar que los mensajes falsos parezcan formar parte de un proceso legítimo del servicio.

Los principales riesgos destacados en este incidente son el phishing, la toma de control de cuentas y la ingeniería social. Los atacantes pueden combinar los campos del registro para preparar falsas alertas de cuenta, restablecimientos de contraseñas, renovaciones de membresías, notificaciones de soporte o mensajes de verificación de seguridad. El uso de datos de cuenta que realmente figuran en el registro puede hacer que el usuario baje la guardia. Por tanto, aunque el registro no contenga una contraseña, persiste el riesgo de vinculación de perfiles y de fraude dirigido. Si hay un campo de contraseña, el riesgo aumenta aún más, ya que se puede intentar utilizar la misma contraseña o una similar en otros servicios.

El primer paso para los usuarios de PESGaming es contrastar los campos enumerados en este registro con sus propios hábitos de uso de cuentas. Si ha utilizado la misma información verificada de cuenta o de contacto en otros servicios, debe evaluar los mensajes recibidos teniendo en cuenta el conjunto de su identidad digital. Si también utiliza el mismo nombre de usuario en cuentas de redes sociales, videojuegos, foros, educación, viajes o compras, aumenta el riesgo de vinculación de perfiles. No haga clic directamente en enlaces inesperados; compruebe las operaciones de sus cuentas a través de dominios conocidos, utilice contraseñas únicas en las cuentas donde haya reutilizado una contraseña y active la autenticación multifactor siempre que sea posible. Si el registro contiene información sobre hashes de contraseñas, revise también sus antiguos patrones de contraseñas. En lugar de introducir pequeños cambios de caracteres, opte por contraseñas largas y completamente únicas.

Para las organizaciones, un registro de PESGaming es importante para comprender en qué contexto de datos aparecen los correos electrónicos o las cuentas personales de sus empleados en servicios externos. Si un empleado ha utilizado su correo electrónico corporativo en estos servicios, los atacantes pueden usar esa misma información en mensajes que simulen solicitudes de soporte, notificaciones de facturas, verificaciones de cuentas o comunicaciones internas. Los equipos de seguridad deben vigilar no solo las filtraciones que contienen contraseñas, sino también los campos confirmados en el registro, como los datos de identidad, cuenta y contacto, así como el contexto de uso, por los riesgos de ingeniería social que pueden plantear.

Por tanto, el registro de la filtración de datos de PESGaming se limita a los campos respaldados por la evidencia, pero requiere atención por su impacto en la seguridad. Para los usuarios, lo más adecuado es verificar los enlaces recibidos mediante un canal independiente, actualizar las opciones de recuperación de cuentas, revisar otras cuentas que utilicen la misma información y no aprobar precipitadamente solicitudes inesperadas de verificación o pago. Esta página se ha actualizado para que quienes busquen información sobre la filtración de datos de PESGaming puedan conocer, sin exageraciones, el número de registros, los campos de datos y las medidas de protección prioritarias.

Esta comprobación final del registro de PESGaming tiene como objetivo garantizar que la lista de campos de datos siga siendo coherente con la descripción visible para el usuario. Quien realice la búsqueda debe ver en esta página únicamente los tipos de datos respaldados por la evidencia; no deben añadirse afirmaciones sobre otros campos solo para hacer que el riesgo parezca mayor. Este enfoque ayuda tanto a los usuarios particulares a elegir la medida de seguridad adecuada como a las organizaciones a determinar qué datos de sus empleados podrían estar realmente en riesgo. El alcance actual de la categoría de datos se limita a los siguientes campos: direcciones de correo electrónico, nombres de usuario, direcciones IP, metadatos de hashes de contraseñas, sales de contraseñas, contraseñas.