Si tienes cuenta en Steam, deberías cambiar tu contraseña

Pero, como cualquier fortaleza digital, su seguridad nunca es absoluta. Los sistemas que sostienen estas comunidades son complejos y, en ocasiones, sus defensas pueden ceder en los puntos menos esperados.

Así, hoy se ha revelado que datos de más de 89 millones de usuarios de Steam han aparecido en la dark web, lo que representa casi el 70% de la base total de usuarios activos de la plataforma. Este descubrimiento fue destacado inicialmente por Mellow_Online1 en Twitter, quien se hizo eco de una publicación de Underdark AI en LinkedIn. Según estas fuentes, un hacker conocido como Machine1337 afirma haber obtenido estos registros y haberlos puesto a la venta en un popular foro de la dark web, describiendo los datos como «frescos» y potencialmente muy valiosos para los cibercriminales.

El origen del problema parece estar relacionado con un proveedor externo de autenticación de dos factores (2FA) que Valve utilizó para gestionar las verificaciones de identidad en su plataforma. Aunque no se ha confirmado que los servidores principales de Steam hayan sido comprometidos, el uso de terceros para manejar servicios críticos como el envío de mensajes de 2FA podría haber sido el punto débil que permitió esta filtración. Esto es particularmente preocupante, ya que los servicios de 2FA suelen manejar datos extremadamente sensibles, como códigos temporales y metadatos de autenticación, que pueden ser utilizados para interceptar o secuestrar cuentas.

Los datos comprometidos incluyen, según las mismas fuentes, nombres de usuario, contraseñas y registros de SMS de autenticación de dos factores. Esto podría permitir a los atacantes no solo acceder a cuentas de Steam, sino también intentar reutilizar estas credenciales en otros servicios donde los usuarios hayan usado las mismas combinaciones de usuario y contraseña, una práctica tristemente común. Además, si los registros de 2FA incluyen detalles como el contenido de los mensajes y los estados de entrega, los atacantes podrían incluso falsificar solicitudes de autenticación o secuestrar respuestas legítimas, ampliando aún más el alcance del ataque.

Para los usuarios, el riesgo es significativo. Incluso si no reutilizan contraseñas, el acceso a los registros de 2FA podría permitir a los atacantes eludir una de las capas más importantes de protección de cuentas. Por eso, se recomienda a todos los usuarios de Steam que cambien sus contraseñas de inmediato, activen Steam Guard si aún no lo han hecho y eviten usar las mismas credenciales en múltiples servicios. También es fundamental verificar que los mensajes de autenticación provienen de solicitudes legítimas, especialmente en estos momentos de alta exposición.

Valve, hasta el momento, no ha emitido un comunicado oficial sobre esta brecha, pero es probable que la compañía esté investigando el alcance del incidente y trabajando para identificar al proveedor comprometido. Este caso podría servir como un recordatorio más de que, en un mundo cada vez más conectado, la cadena de suministros es un elemento crítico en la ciberseguridad. ¿Será esta una llamada de atención (una más) para que las grandes plataformas revisen sus prácticas de seguridad con terceros?