VNG Filtración de datos

Las categorías de datos que constan en el registro son fechas de nacimiento, direcciones de correo electrónico, géneros, direcciones IP, estados civiles, nombres, ocupaciones, contraseñas, números de teléfono, direcciones físicas y nombres de usuario. Las contraseñas se habían convertido en hashes mediante MD5 sin sal, lo que no protege adecuadamente las contraseñas débiles frente a ataques de adivinación sin conexión.

Este perfil detallado puede facilitar ataques de phishing dirigidos, estafas por SMS, el uso indebido de los mecanismos de recuperación de cuentas e intentos de apropiación de cuentas basados en la reutilización de contraseñas. Las tarjetas de pago, las cuentas bancarias, los documentos de identidad y los mensajes privados no son categorías de datos verificadas para este registro.

La fecha de referencia de la filtración es el 19 de mayo de 2015. Un anuncio publicado en un foro en abril de 2018 afirmaba que un archivo de 7,55 GB contenía 163 666 400 filas de Zing ID; ese número de filas en bruto y la cifra de referencia de 24 853 850 direcciones de correo electrónico únicas son medidas distintas. VNG declaró que había registrado que 160 millones de identificadores Zing ID podían estar en riesgo en 2015, que había aplicado controles técnicos para limitar el impacto y que había constatado que la exposición real se concentraba en los clientes de juegos, sin afectar a otros productos. La empresa también indicó que aproximadamente el 99% de las cuentas llevaban más de un año inactivas. No se divulgó públicamente el punto de entrada técnico exacto.

Las personas con cuentas Zing ID o cuentas de juegos de VNG corren el mayor riesgo, especialmente quienes reutilizaron el mismo nombre de usuario y la misma contraseña en otros servicios. La combinación de nombres, fechas de nacimiento, ocupaciones, estado civil, números de teléfono y direcciones puede ayudar a los atacantes a crear mensajes personalizados, mientras que la información de correo electrónico e IP puede facilitar la vinculación de cuentas y los intentos de inicio de sesión.

Cambie la antigua contraseña de Zing ID o VNG y las de todas las cuentas en las que utilizó la misma contraseña o una similar. Utilice una contraseña única para cada servicio, proteja primero su cuenta de correo electrónico, cierre las sesiones activas y active la verificación en dos pasos cuando esté disponible. Verifique por un canal independiente los mensajes inesperados que contengan datos sobre su teléfono, dirección u ocupación.

Utilice un gestor de contraseñas para generar una contraseña distinta para cada cuenta y cierre las cuentas de juegos o de portales que ya no utilice. Conserve únicamente la información necesaria en los campos de su perfil y siga prestando atención a los mensajes de phishing y a los avisos de recuperación de cuentas que incluyan datos difíciles de cambiar, como direcciones físicas, números de teléfono y fechas de nacimiento.

Consulte este registro con la dirección de correo electrónico que utilizó para Zing ID o VNG. Una coincidencia significa que la dirección aparece en el conjunto de datos de referencia de VNG; no significa que los 163 millones de filas mencionados en el anuncio del foro correspondieran en su totalidad a usuarios únicos o activos. Si el resultado es positivo, cambie la antigua contraseña de la cuenta de juegos en todos los servicios donde la haya reutilizado.