Filtración de datos de Shadow

Los tipos de datos incluidos en este incidente son los siguientes: fechas de nacimiento, direcciones de correo electrónico, nombres y direcciones físicas. Una dirección física y una fecha de nacimiento, junto con una dirección de correo electrónico, permiten crear un perfil detallado que puede facilitar el phishing dirigido y el uso indebido de los mecanismos de recuperación de cuentas. La presencia conjunta de estos campos puede suponer un riesgo mayor que la filtración de una dirección de correo electrónico por sí sola, ya que los atacantes pueden combinar información de comunicación, identidad, ubicación, compras o acceso a cuentas de una misma persona para elaborar intentos de phishing más convincentes.

Este registro no incluye el campo de contraseña; aun así, la información personal permanente, como la fecha de nacimiento y la dirección, supone un riesgo a largo plazo independiente de la contraseña. Los usuarios deben prestar especial atención a los intentos de fraude que relacionan contraseñas, números de teléfono y direcciones utilizados en distintos servicios con una misma dirección de correo electrónico. Aunque la filtración no contenga una contraseña, campos como el correo electrónico, el teléfono, el nombre completo o la dirección física son valiosos para la publicidad dirigida, la ingeniería social, las notificaciones falsas y el uso indebido de los mecanismos de recuperación de cuentas.

El registro abarca aproximadamente 543 000 registros de clientes asociados al dominio de Shadow y a su servicio de videojuegos en la nube. Por ello, limitamos el registro a los campos de datos disponibles, sin ampliarlo ni presentarlo como una declaración definitiva de la empresa. El incidente pertenece a la categoría de registros verificados. Delimitar el alcance es importante: no se genera alarma innecesaria en el usuario por tipos de datos que no figuran en la lista, pero tampoco se debe subestimar el efecto combinado de los campos incluidos.

La descripción no incluye información sobre tarjetas de pago, contenido de los juegos ni acceso a dispositivos, porque no figura en este registro. En los casos en los que podría haber referencias duplicadas o incorrectas, se han comprobado por separado el título, el nombre de dominio, el país y la información del sector. Las plataformas con nombres similares o los distintos servicios que operan en el mismo sector no se han agrupado en este registro como si fueran un único incidente.

Están en riesgo los clientes de Shadow, los usuarios que guardan su dirección de facturación en su cuenta y las personas que utilizan la misma dirección de correo electrónico para videojuegos, servicios en la nube o cuentas de pago. El riesgo más importante para las personas de este grupo es que los campos filtrados puedan vincularse con la seguridad cotidiana de sus cuentas. Si un usuario utiliza la misma dirección de correo electrónico en distintos servicios de compras, videojuegos, comunidades, citas, trabajo o finanzas, los atacantes pueden usar esta información para preparar mensajes que parezcan proceder del servicio real.

En el contexto de los servicios de computación en la nube, los mensajes sobre facturas falsas, renovaciones de suscripciones, problemas de pago o suspensión de cuentas pueden resultar más convincentes. Las direcciones de correo electrónico con un dominio corporativo también pueden convertirse en un punto vulnerable para ataques dirigidos a cuentas empresariales. Para los usuarios particulares, campos como el número de teléfono, la dirección, la fecha de nacimiento, la foto de perfil o la información sobre compras o dispositivos pueden dar lugar a consecuencias como la toma de control de cuentas, el phishing, el acoso, el seguimiento no autorizado y riesgos para la reputación.

Los usuarios afectados deben revisar los ajustes de seguridad de su cuenta de Shadow, así como la información de pago vinculada y la información de las sesiones; también deben actuar con cautela ante los mensajes falsos sobre suscripciones enviados a la misma dirección de correo electrónico. En el caso de las cuentas con campos de contraseña o similares, los usuarios deben cambiar las contraseñas de todas las cuentas en las que utilicen contraseñas iguales o parecidas, usar contraseñas seguras y únicas, y activar la autenticación multifactor siempre que sea posible. En el caso de las cuentas para las que no se incluyen contraseñas, se deben examinar con más cuidado los códigos de verificación, enlaces y archivos adjuntos inesperados recibidos por correo electrónico o teléfono.

Cuando los registros contienen información sobre direcciones, fechas de nacimiento, documentos oficiales de identidad, fotos de perfil o ubicación, los usuarios deben actualizar las preguntas de verificación de identidad, revisar las opciones de recuperación de cuentas y vigilar la aparición de perfiles falsos que suplanten su identidad. Los usuarios corporativos deben informar al equipo de seguridad de si estos campos se están utilizando para dirigir ataques contra empleados.

En los servicios en la nube, es importante que los usuarios revisen periódicamente su dirección de facturación, el historial de sesiones y los medios de pago vinculados, y que cancelen las suscripciones que no utilicen. A largo plazo, una contraseña única para cada cuenta, un gestor de contraseñas, la autenticación multifactor, la revisión periódica de las sesiones y el cierre de cuentas antiguas constituyen la base de la seguridad. El hecho de que una dirección de correo electrónico haya estado implicada antes en distintos incidentes indica una acumulación de riesgo que no se limita a un solo registro.

Después de incidentes de este tipo, puede no ser suficiente con que los usuarios cambien únicamente la contraseña de la plataforma afectada. Si también utilizan el mismo número de teléfono, la misma dirección de entrega, el mismo nombre de usuario o el mismo correo electrónico de recuperación en otros servicios, los atacantes pueden intentar acceder a distintas cuentas a partir de esos elementos comunes. Por ello, elaborar un inventario de cuentas y dar de baja las cuentas o suscripciones antiguas que ya no se utilicen proporciona una protección permanente.

Si el usuario encuentra una coincidencia con este incidente, no debe centrarse únicamente en cambiar su contraseña; también debe comprobar si se está utilizando información permanente, como la dirección y la fecha de nacimiento, en las preguntas de autenticación. Este registro se ha elaborado para mostrar directamente al usuario qué aspectos están en riesgo. Si se detecta una coincidencia, el primer paso no es entrar en pánico, sino utilizar contraseñas distintas, cerrar las sesiones, revisar las notificaciones de seguridad y comprobar si hay inicios de sesión sospechosos.

Evaluación final: Aunque este registro no contiene una contraseña, la combinación de la fecha de nacimiento y la dirección física supone un riesgo para los datos personales sensibles. El usuario debe comparar la lista de campos de esta página con el historial de su cuenta y actuar de inmediato en los servicios en los que haya reutilizado la misma combinación de correo electrónico y contraseña. Después del incidente, se debe prestar mayor atención a los mensajes sospechosos, las llamadas inesperadas y las notificaciones de recuperación de cuentas.