Fue la empresa Underdark AI quien dio la voz de alarma tras detectar esta venta de credenciales en la dark web. La situación pone en jaque a millones de jugadores que guardan en Steam desde sus tarjetas de crédito hasta colecciones de juegos que, en algunos casos, valen miles de euros.

El problema viene de fuera: ni Valve ni Twilio son el origen

Según las primeras investigaciones, el agujero no está en los propios servidores de Valve (dueña de Steam) ni en Twilio, que inicialmente sonó como posible fuente. La compañía ha negado cualquier vínculo con Twilio en este asunto, lo que apunta a que algún proveedor externo podría haber metido la pata hasta el fondo.

Si no tienes activado Steam Guard, estás en serios apuros. Cualquiera con las credenciales filtradas podría acceder a tu cuenta como Pedro por su casa y llevarse todo lo que encuentra: desde tus juegos hasta los datos de pago guardados. La cosa viene de lejos. En agosto vimos cómo la filtración de 2.900 millones de registros de National Public Data se vendió por 3,5 millones. Una barbaridad que hace que estos 89 millones de Steam parezcan poca cosa.

El mayor peligro no es solo que te roben la cuenta, sino el phishing. Imagina recibir un correo perfectamente personalizado, con tu nombre y detalles que solo Steam conoce. Hasta el más espabilado podría picar ante semejante nivel de personalización. Y no olvidemos el mercadillo de cuentas robadas. Muchos gamers tienen bibliotecas repletas de juegos y objetos raros que valen una fortuna. Los ladrones lo saben y han montado todo un negocio alrededor de la reventa de estas cuentas.

¿Qué puedes hacer? Valve recomienda activar inmediatamente Steam Guard si aún no lo has hecho. También es vital cambiar la contraseña, ignorar enlaces sospechosos y revisar regularmente la actividad reciente de tu cuenta para detectar accesos extraños. No es la primera vez que vemos algo así. En enero, una brecha en Gravy Analytics dejó al descubierto ubicaciones de usuarios de aplicaciones como Candy Crush o Microsoft 365. La privacidad parece haberse convertido en artículo de lujo.

Los 5.000 dólares que piden por estos datos son calderilla. Sale a menos de un céntimo por cuenta, lo que hace pensar que parte de los datos están obsoletos. Pero ojo, incluso información antigua puede ser oro para los ciberdelincuentes, como vimos tras la exposición de 3.800 millones de correos y contraseñas por DarkBeam en 2023.

Valve no está precisamente comunicativa, más allá de desvincularse de Twilio. Este silencio oficial tras la filtración no ayuda a calmar los ánimos entre los usuarios, que empiezan a preguntarse si pueden seguir confiando en la plataforma. Casos similares abundan. En 2023, un error de Microsoft filtró 38 TB de información interna mientras entrenaba modelos de IA. Y no olvidemos la brecha que expuso datos de 223 millones de brasileños o la supuesta filtración en Endesa que habría afectado a 39,2 millones de clientes.

Valve ha salido al paso de una información según la cual una persona estaba en posición de vender la información de más de 89 millones de cuentas de Steam, una de las plataformas de distribución de juegos más usada del mundo y el cliente más popular entre los jugadores de PC. La compañía ha publicado un comunicado donde asegura que sus sistemas no ha sido hackeados, y que la información que se puede comprar por internet son viejos mensajes de texto de un solo uso enviados a sus usuarios. Valve ni siquiera recomienda cambiar la contraseña de Steam.

"Es posible que hayas visto noticias sobre filtraciones de antiguos mensajes de texto que se enviaron en su día a usuarios de Steam", dice Valve en su mensaje para explicar la situación y llamar a la calma. "Hemos examinado la muestra de la filtración y hemos determinado que NO se debió a una vulneración de los sistemas de Steam. Seguimos investigando el origen de la filtración, que se ve agravada por el hecho de que los mensajes SMS no están cifrados durante su transmisión y pasan por varios proveedores antes de llegar a tu teléfono".

Valve asegura que la filtración consiste en unos mensajes de texto antiguos con códigos de un solo uso, que solo son válidos durante 15 minutos, y los números de teléfono a los que se enviaron. "Los datos filtrados no asociaban los números de teléfono con ninguna cuenta de Steam, contraseña, información de pago u otro dato personal", sostiene Valve. La compañía también aclara que estos mensajes de texto antiguos "no pueden usarse para comprometer la seguridad de tu cuenta de Steam", y recuerda que cuando que se utiliza un código por SMS para cambiar el correo electrónico o la contraseña de la cuenta, siempre se recibe una confirmación mediante un correo electrónico o un mensaje seguro de Steam.

Al no apreciar un peligro para sus clientes, Valve asegura que "no necesitas cambiar tus contraseñas o números de teléfono" como consecuencia de este incidente. Sin embargo, anima a usar este capítulo como un recordatorio de que se debe tratar como sospechoso cualquier mensaje de seguridad de la cuenta que no se haya solicitado explícitamente. La compañía recomienda comprobar regularmente la seguridad de la cuenta de Steam en este enlace y configurar el Autenticador móvil de Steam Guard. Esta aplicación "nos ofrece la mejor forma de enviarte mensajes seguros sobre tu cuenta y su seguridad", comenta Valve.

Fuentes:

https://andro4all.com/juegos/filtrados-datos-de-89-millones-de-cuentas-steam-vulnerables-quienes-no-activaron-la-verificacion-en-dos-pasos

https://store.steampowered.com/news/app/593110/view/533224478739530145?l=english

https://www.elotrolado.net/noticias/juegos/steam-filtracion-cuentas-sms