Un posible ciberataque ha puesto en riesgo la seguridad de 89 millones de cuentas de Steam. La plataforma es la mayor distribuidora digital de videojuegos para PC. Los supuestos datos filtrados incluyen códigos de acceso de un solo uso enviados por SMS.
Aparentemente, un usuario llamado Machine1337 está ofreciendo esta información en la dark web. Además, Twilio ha negado ser la fuente de la filtración. Sin embargo, el origen del ataque sigue siendo incierto.
¿Qué pasó realmente con los datos de Steam?
La situación fue reportada por el periodista independiente MellowOnline1, quien gestiona el grupo SteamSentinels, especializado en monitorear fraudes en Steam. De acuerdo con su advertencia, un atacante está vendiendo millones de registros de Steam. Estos datos incluyen información personal y códigos de acceso temporal.
En un primer momento, Twilio fue señalado como posible fuente de la brecha. La empresa proporciona servicios de autenticación de dos factores (2FA). Steam utiliza algunos de estos servicios para enviar códigos SMS a sus usuarios. Sin embargo, en declaraciones a BleepingComputer, Twilio negó haber sido vulnerado.
En efecto, la compañía revisó los datos filtrados. Según un portavoz, no hay evidencia de que la información haya sido obtenida de sus sistemas. Aún así, el análisis realizado por BleepingComputer encontró registros históricos de SMS. Estos incluían códigos OTP enviados a usuarios de Steam.
Entonces, la pregunta es: ¿de dónde provienen estos mensajes? Algunos especialistas creen que podría tratarse de un compromiso en algún proveedor intermedio de servicios SMS. No obstante, esta hipótesis aún no ha sido confirmada. Por otro lado, Valve, la empresa propietaria de Steam, no ha emitido ninguna declaración oficial al respecto. Mientras tanto, el atacante sigue ofreciendo los datos por $5,000 en foros clandestinos.
¿Qué deben hacer los usuarios ahora?
El origen del ataque sigue sin estar claro, pero los datos filtrados están a la venta y representan un riesgo real. Cambiar contraseñas y activar Steam Guard es lo más prudente por ahora. Valve guarda silencio, pero la amenaza sigue latente.
