PSP ISO Filtración de datos

Los tipos de datos observados en este registro son direcciones de correo electrónico, direcciones IP, contraseñas y nombres de usuario. Se determinó que las contraseñas se almacenaban como hashes MD5 con sal; las contraseñas antiguas y débiles suponen un riesgo. No se añadieron a la lista de clases de datos campos no verificados de tarjetas de pago, cuentas bancarias, mensajes privados, historiales médicos ni otros datos de perfil; solo se conservaron los campos respaldados por la evidencia.

Las coincidencias de nombres de usuario del foro, direcciones IP y correos electrónicos pueden vincular identidades entre distintas comunidades de videojuegos. Una dirección de correo electrónico por sí sola conlleva el riesgo de recibir mensajes no deseados; al combinarse con un número de teléfono, una dirección, una IP, una fecha de nacimiento, una contraseña, un documento de identidad oficial, un registro de soporte, información de un vehículo o una dirección física, facilita que un atacante genere mensajes personalizados para el usuario. La evaluación del riesgo se basó en este efecto combinado.

El alcance se verificó a partir del registro de 1,27 millones de cuentas de PSP ISO correspondiente a septiembre de 2015. Se conservaron los aspectos verificados y se excluyeron los no confirmados. El incidente no se combinó con conjuntos de datos de nombres similares, incidentes de la misma empresa ocurridos en otros periodos ni referencias incorrectas al sector.

El registro se limita al dominio pspiso.com y no se presenta como una vulneración de los sistemas oficiales de PlayStation. El nombre del dominio, el nombre de la empresa y la información del sector se mantuvieron en el contexto más acotado y preciso posible. En los aspectos inciertos, se configuró según correspondía el indicador de verificación o el dominio del sitio web; así, no se presentó al usuario una atribución de responsabilidad a una marca que no estuviera confirmada.

Los grupos de usuarios en riesgo pueden incluir a jugadores con una cuenta en el foro PSP ISO y a personas que usan el mismo nombre de usuario en otros foros. Los usuarios cuyos datos coincidan también deberían evaluar sus otras cuentas en las que utilicen el mismo correo electrónico, teléfono, nombre de usuario o patrón de contraseña fuera del servicio afectado.

Si se utilizó la misma contraseña para el correo electrónico, una tienda de videojuegos o una cuenta de redes sociales, los datos antiguos del foro suponen un riesgo para las cuentas actuales. Si existe un contexto relacionado con un correo electrónico corporativo, un foro de videojuegos, un registro de cliente de motocicletas, una aplicación de un centro comercial, una solicitud de soporte, una cuenta de alquiler, una lista de marketing o malware, el riesgo de ingeniería social puede aumentar. Que algunos detalles parezcan correctos por sí solos no es una señal de confianza.

Los usuarios afectados deberían cambiar su contraseña de PSP ISO y las contraseñas de todas las cuentas que utilicen la misma. En los registros con un campo de contraseña, deben actualizarse todas las cuentas que usen esa misma contraseña; en los registros sin ese campo, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono, las notificaciones falsas, la privacidad y la vinculación de identidades.

En lugar de hacer clic en los enlaces del mensaje, se debe escribir manualmente la dirección del servicio correspondiente o utilizar la entrada guardada en un gestor de contraseñas de confianza. No se debe dar por válido ningún mensaje sobre facturas, advertencias de cuenta, recompensas de videojuegos, soporte, envíos, atención al cliente, citas de mantenimiento, avisos públicos o renovaciones de suscripción sin verificarlo por un canal independiente.

No deben utilizarse las contraseñas de cuentas oficiales en foros de videojuegos; conviene elegir una contraseña distinta y, si es posible, un nombre de usuario distinto para cada foro. Los usuarios deberían eliminar periódicamente las cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario repetidos y los datos antiguos de teléfono y dirección. Usar una contraseña única para cada servicio y activar la verificación en dos pasos cuando sea posible debería ser una regla básica.

Desde la perspectiva de los proveedores de servicios, son necesarias la minimización de datos, una protección sólida de las contraseñas, la supervisión de los registros de acceso, la eliminación de campos innecesarios y la preparación de los procesos de notificación a los usuarios. Las infraestructuras de los foros antiguos generan datos durante los reintentos de introducción de contraseñas, y esos datos pueden utilizarse durante muchos años. Explicar con precisión el alcance también forma parte del trabajo de seguridad; la información exagerada o incompleta puede llevar al usuario a tomar medidas equivocadas.

El usuario debería realizar primero una comprobación con la dirección de correo electrónico de este registro. Si se encuentra una coincidencia, debe asumirse que los campos de nombre de usuario, IP y contraseña pueden estar en riesgo, y deben eliminarse las contraseñas antiguas del foro. No encontrar una coincidencia no descarta por completo que se haya utilizado otro correo electrónico o que se hayan reutilizado contraseñas antiguas; las cuentas críticas deben revisarse por separado.

Este registro mantuvo su estado verificado; no se confundió con los sistemas oficiales de la marca. En este ajuste, los campos de datos se mantuvieron como clases canónicas en inglés, la descripción visible para el usuario se redactó en turco con un texto original, no se añadieron campos sin verificar y el indicador de sensibilidad se utilizó únicamente cuando lo justificaba el contexto de riesgo.