R2 (Filtración de datos del foro de 2017)

Los tipos de datos presentes en este registro son direcciones de correo electrónico, contraseñas, nombres de usuario y actividad en el sitio. Según la evaluación, las contraseñas se almacenaban como hashes MD5 sin sal, una forma de protección débil. No se añadieron a la lista de categorías de datos tarjetas de pago, cuentas bancarias, mensajes privados, historiales médicos ni campos de perfil adicionales cuya presencia no estuviera verificada; solo se conservaron los campos respaldados por la evidencia.

La actividad en el sitio y el nombre de usuario pueden vincular el comportamiento del jugador en la comunidad con su dirección de correo electrónico. La dirección de correo electrónico por sí sola supone un riesgo de recibir spam; cuando se combina con el teléfono, la dirección, la IP, la fecha de nacimiento, la contraseña, un documento de identidad oficial, un registro de asistencia, información sobre vehículos o una dirección física, resulta más fácil para un atacante crear mensajes específicos para el usuario. La evaluación del riesgo se basó en este efecto combinado.

El alcance se limita al incidente del foro de R2 Games de principios de 2017. Se conservaron los aspectos confirmados y se excluyeron los no confirmados. El incidente no se combinó con conjuntos de datos de nombre similar, incidentes de la misma empresa ocurridos en otros periodos ni referencias incorrectas al sector.

El registro más amplio de R2Games de 2015, correspondiente al mismo nombre de dominio, no se fusionó con este registro. El nombre de dominio, el nombre de la empresa y la información del sector se mantuvieron en el contexto más acotado y preciso posible. En los aspectos que presentaban incertidumbre, los indicadores de verificación o los campos del sitio web se ajustaron en consecuencia; de este modo, no se mostró al usuario una atribución incierta de responsabilidad a la marca.

Los grupos de usuarios en riesgo durante 2017 pueden incluir a jugadores que tenían una cuenta en el foro de R2 Games y a personas que usaban el mismo nombre de usuario en distintos juegos. Los usuarios que coincidan con el registro también deben revisar otras cuentas en las que hayan utilizado el mismo correo electrónico, teléfono, nombre de usuario o patrón de contraseña fuera del servicio afectado.

Si se reutilizan contraseñas antiguas del foro en una tienda de videojuegos o una cuenta de correo electrónico, el riesgo se traslada a las cuentas actuales. Si el contexto incluye un correo electrónico corporativo, un foro de videojuegos, un registro de cliente de motocicletas, una aplicación de un centro comercial, una solicitud de asistencia, una cuenta de alquiler, una lista de marketing o malware, el riesgo de ingeniería social puede aumentar. Los detalles que parecen correctos por sí solos no son una señal de confianza.

Los usuarios afectados deben cambiar su contraseña del foro de R2 Games y la de cualquier otra cuenta en la que utilicen la misma contraseña. En el caso de registros que tengan un campo de contraseña, deben actualizarse todas las cuentas que utilicen esa misma contraseña; en los registros sin ese campo, la atención debe centrarse en los riesgos relacionados con el correo electrónico, el teléfono, las notificaciones falsas, la privacidad y la vinculación de identidades.

En lugar de hacer clic en los enlaces del mensaje, escriba manualmente la dirección del servicio correspondiente o utilice la entrada guardada en un gestor de contraseñas de confianza. No dé por válidos los mensajes sobre facturas, advertencias de cuenta, recompensas de juegos, asistencia, envíos, atención al cliente, citas de mantenimiento, avisos públicos o renovaciones de suscripciones sin verificarlos a través de un canal independiente.

Para los foros de videojuegos, se debe establecer una contraseña única, un nombre de usuario diferente y el hábito de utilizar la verificación en dos pasos. Los usuarios deben revisar y depurar periódicamente las cuentas antiguas, los campos de perfil innecesarios, los nombres de usuario duplicados y los datos antiguos de teléfono y dirección. La regla básica debe ser utilizar una contraseña única para cada servicio y la verificación en dos pasos siempre que sea posible.

Los proveedores de servicios deben minimizar los datos, proteger las contraseñas de forma robusta, supervisar los registros de acceso, eliminar los campos innecesarios y tener preparados los procesos de notificación a los usuarios. Los distintos incidentes ocurridos en un mismo dominio deben explicarse al usuario con alcances separados. Explicar correctamente el alcance también forma parte del trabajo de seguridad; la información exagerada o incompleta puede inducir al usuario a tomar medidas equivocadas.

Primero, compruebe si su dirección de correo electrónico aparece en este registro. Si se encuentra una coincidencia, debe asumirse que la actividad en el sitio, el nombre de usuario y los hashes débiles de las contraseñas pueden estar en riesgo. La ausencia de coincidencias no descarta por completo el uso de otra dirección de correo electrónico ni la reutilización de contraseñas antiguas; también deben revisarse las cuentas críticas.

Este registro mantuvo su estado de verificado; no se duplicó con el registro de R2Games de 2015. En esta configuración, los campos de datos se mantuvieron como categorías canónicas en inglés, la descripción visible para el usuario se redactó en turco con contenido original, no se añadieron campos no verificados y el indicador de sensibilidad solo se utilizó cuando el contexto de riesgo lo justificaba.