Filtración de datos de PlayCyberGames

Los tipos de datos observados en este registro son direcciones de correo electrónico, contraseñas y nombres de usuario. Se determinó que las contraseñas se almacenan mediante un hash MD5 y un valor de sal fijo; esta estructura se considera débil. No se añadieron a la lista de categorías de datos campos no verificados de tarjetas de pago, cuentas bancarias, mensajes privados, historiales médicos ni datos adicionales del perfil; solo se conservaron los campos respaldados por la evidencia.

La vinculación del nombre de usuario del juego con el correo electrónico facilita los intentos de acceso con contraseñas en otras cuentas de juegos y el envío de invitaciones falsas a juegos. Una dirección de correo electrónico por sí sola supone un riesgo de recibir mensajes no deseados; si se combina con un número de teléfono, una dirección, una IP, una fecha de nacimiento, una contraseña, planes de viaje, datos parciales de una tarjeta o información del dispositivo, resulta más fácil para un atacante generar mensajes personalizados para el usuario. La evaluación del riesgo se realizó teniendo en cuenta este efecto combinado.

Se verificó un alcance de 3,68 millones de cuentas a fecha de agosto de 2023. Se conservaron los aspectos confirmados y se excluyeron los no confirmados. El incidente no se agrupó con conjuntos de datos de nombres similares, incidentes de la misma empresa ocurridos en otros periodos ni atribuciones incorrectas de sector.

El registro se limita al dominio playcybergames.com y no se ha agrupado con otras plataformas de juegos. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron en el contexto más acotado y preciso posible. Cuando había incertidumbre, los indicadores de verificación o los dominios de los sitios web se ajustaron en consecuencia; así se evitó presentar al usuario una atribución incierta de responsabilidad a una marca.

Los grupos de usuarios en riesgo pueden incluir a jugadores que tengan una cuenta de PlayCyberGames y a personas que utilicen el mismo nombre de usuario en distintos juegos. Los usuarios cuyos datos coincidan también deben evaluar sus cuentas de otros servicios que utilicen el mismo correo electrónico, número de teléfono, nombre de usuario o patrón de contraseña.

El riesgo es mayor si se utilizó la misma contraseña en una tienda de juegos, una cuenta de correo electrónico o una cuenta de redes sociales. En contextos de correo corporativo, cuentas educativas, reservas de hotel, suscripciones de telecomunicaciones, comunidades de juegos, donaciones a proyectos de código abierto o software de supervisión, el riesgo de ingeniería social puede aumentar. Los detalles que parecen correctos no son, por sí solos, una garantía de fiabilidad.

Los usuarios afectados deben cambiar su contraseña de PlayCyberGames y las contraseñas de todas las cuentas en las que utilicen la misma. En los registros con un campo de contraseña, deben actualizarse las contraseñas de todas las cuentas que utilicen esa misma contraseña; en los registros sin ese campo, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono, las notificaciones falsas, la privacidad y la vinculación de identidades.

En lugar de hacer clic en los enlaces del mensaje, debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No debe dar por válidos los mensajes sobre envíos, alertas de cuenta, recompensas de juegos, soporte, notificaciones a donantes, reservas de viajes, notificaciones de seguridad o renovaciones de suscripciones sin verificarlos por un canal independiente.

En las plataformas de juegos se deben adoptar contraseñas únicas, nombres de usuario distintos y el uso habitual de la verificación en dos pasos. Los usuarios deben revisar y eliminar periódicamente las cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario repetidos y la información antigua de teléfono y dirección. La regla básica debe ser utilizar una contraseña única para cada servicio y activar la verificación en dos pasos siempre que sea posible.

Los proveedores de servicios deben minimizar los datos, proteger las contraseñas de forma sólida, supervisar los registros de acceso, eliminar los campos innecesarios y tener preparados los procesos de notificación a los usuarios. Las plataformas de juegos deben sustituir el antiguo almacenamiento de contraseñas basado en MD5 por algoritmos modernos de alto coste computacional. Explicar con precisión el alcance también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

Primero debe consultar este registro con una dirección de correo electrónico. Si encuentra una coincidencia, debe asumir que el nombre de usuario y los hashes débiles de las contraseñas pueden estar en riesgo; debe dejar de utilizar las contraseñas de juegos que haya reutilizado. No encontrar una coincidencia no descarta por completo que se haya utilizado otro correo electrónico o reutilizado una contraseña antigua; también debe revisar las cuentas críticas.

Este registro mantuvo su estado de verificado; el sector y la descripción del riesgo se situaron en el contexto de la plataforma de juegos. En esta revisión, los campos de datos se mantuvieron como clases canónicas en inglés, la descripción visible para el usuario se redactó en turco con texto original, no se añadieron campos sin verificar y el indicador de sensibilidad se utilizó únicamente cuando el contexto de riesgo lo justificaba.