Filtración de datos de Zynga

Las categorías de datos verificadas en este incidente son direcciones de correo electrónico, contraseñas, números de teléfono y nombres de usuario. Según lo informado, los datos de contraseñas corresponden a valores SHA-1 con sal, en lugar de contraseñas en texto plano; aun así, persiste el riesgo para las contraseñas antiguas y reutilizadas. La presencia de una dirección de correo electrónico y un nombre de usuario en el mismo conjunto de datos facilita que los atacantes creen mensajes que parezcan enviados por perfiles de jugadores reales. Las cuentas con números de teléfono pueden afrontar riesgos adicionales, como llamadas de falsos servicios de soporte, estafas por SMS e intentos de recuperación de cuentas. No se ha verificado la presencia de información financiera dentro del alcance del incidente; sin embargo, el acceso a las cuentas, la identidad dentro del juego, los vínculos sociales y el uso de la misma contraseña en otros sitios generan riesgos indirectos para servicios más críticos.

El incidente de Zynga abarca un gran conjunto de datos de usuarios asociados a las cuentas de los juegos sociales de la empresa. La principal área de servicio verificada son los juegos en línea y para dispositivos móviles; por tanto, el contexto sectorial debe ser el de los juegos sociales y el desarrollo de juegos móviles, no el del comercio minorista. Se ha verificado que el número de cuentas afectadas es de 172 869 660 cuentas únicas. Los campos de datos se limitan a direcciones de correo electrónico, contraseñas, números de teléfono y nombres de usuario. Aunque en las noticias han aparecido afirmaciones sobre cifras mayores o campos distintos, los informes dirigidos a los usuarios deben incluir únicamente las categorías verificadas. Esta distinción no reduce el riesgo de la filtración, pero evita exageraciones innecesarias respecto al número de registros, las fechas y los campos de datos.

El mayor riesgo lo corren quienes utilizan en los juegos de Zynga la misma dirección de correo electrónico y la misma contraseña, o una similar, que en otras plataformas. En juegos sociales como Words With Friends, Draw Something y otros similares, las listas de amigos, los apodos dentro del juego y los vínculos sociales permiten a los atacantes enviar mensajes personalizados. Las cuentas de juegos creadas hace mucho tiempo y olvidadas desde entonces también son relevantes, ya que las contraseñas antiguas pueden haberse reutilizado con frecuencia en otros servicios. Los usuarios cuyos números de teléfono figuren en los datos deben extremar la precaución ante mensajes falsos de recuperación de cuentas y llamadas de soporte. Los riesgos para la privacidad y la seguridad de las cuentas son más amplios en el caso de los menores, las personas que comparten dispositivos con familiares y los usuarios que vinculan juegos sociales con Facebook o servicios similares.

Los usuarios afectados deben cambiar primero la contraseña de su cuenta de Zynga por una única y segura. Si han utilizado la misma contraseña, o una similar, en otra cuenta de juegos, correo electrónico, redes sociales, compras o servicios financieros, también deben dar prioridad al cambio de las contraseñas de esas cuentas. Un gestor de contraseñas permite localizar rápidamente las contraseñas repetidas y generar una distinta para cada servicio. Se deben comprobar el correo electrónico y el número de teléfono de recuperación de la cuenta, y eliminar las cuentas vinculadas que no se reconozcan. Ante mensajes que parezcan proceder de Zynga o del soporte de un juego, se debe verificar la dirección del remitente antes de hacer clic en los enlaces. Es necesario extremar la precaución ante mensajes de verificación por SMS, recompensas, regalos o alertas de cuenta, ya que el número de teléfono puede haberse visto comprometido.

A largo plazo, las cuentas de juegos deben protegerse con el mismo cuidado que las cuentas principales de correo electrónico y las cuentas financieras. Se debe utilizar una contraseña única para cada servicio de juegos y activar la verificación en varios pasos siempre que sea posible. Las cuentas de juegos antiguas deben cerrarse periódicamente o sus contraseñas deben renovarse. Utilizar el mismo nombre de usuario en varias plataformas facilita que los atacantes relacionen las cuentas entre sí; por ello, para las cuentas sensibles puede ser preferible usar nombres de usuario distintos y direcciones de correo electrónico separadas. En el ámbito familiar, los padres deben revisar el correo electrónico, la información de pago y la configuración de los vínculos sociales de las cuentas de juegos que utilizan sus hijos. Para las organizaciones, también son importantes las políticas de control de contraseñas que impidan a los empleados utilizar en los sistemas de trabajo contraseñas filtradas de sus cuentas personales de juegos.

Cuando aparece un resultado de Zynga en LeakData, esto indica que la dirección de correo electrónico está incluida en el conjunto de datos de Zynga de 2019. Este hallazgo, evaluado junto con los datos de nombres de usuario y contraseñas, aumenta el riesgo de que alguien tome el control de la cuenta. El usuario debe comprobar primero sus cuentas de Zynga y de los juegos asociados, y después las demás cuentas abiertas con la misma dirección de correo electrónico. Se debe dar prioridad a los servicios en los que se utiliza la misma contraseña, la cuenta de correo electrónico, las redes sociales, las tiendas de juegos y las cuentas vinculadas a pagos. La fecha de notificación no debe confundirse con la fecha de la filtración: el incidente se sitúa principalmente en septiembre de 2019, mientras que la fecha de incorporación verificada corresponde a diciembre de 2019. Esta distinción es necesaria para que la cronología real del riesgo se muestre correctamente en la pantalla Seguridad de la cuenta.