Buenas noticias: 89 millones de cuentas de Steam no fueron pirateadas

Valve acaba de aclarar las cosas. Después de que un post viral en LinkedIn afirmara que más de 89 millones de cuentas de Steam habían sido filtradas y estaban a la venta en la dark web, el pánico empezó a cundir.

Pero Valve dice que todo es falso.

"Hemos examinado la muestra de la filtración y hemos determinado que NO se trata de una brecha en los sistemas de Steam".

Así se desprende directamente del nuevo comunicado de Valve, publicado tras una oleada de alarma alimentada por Underdark.ai y recogida por el usuario de X Mellow_Online1. Las afirmaciones parecían serias (datos de muestra, contacto en Telegram, un precio de 5.000 dólares), pero ¿la realidad? No tanto.

¿Qué se filtró?

Los archivos que circulaban no estaban llenos de nombres de usuario o contraseñas. Eran antiguos registros de SMS, concretamente, los mensajes de texto que contienen los códigos 2FA de Steam. Ya sabes, esos números de seis dígitos que obtienes al iniciar sesión.

Valve dice que estos códigos son

• Sólo válidos durante 15 minutos
• No están vinculados a credenciales de cuenta, contraseñas o información de pago
• No contienen nada más que un número de teléfono

Así que incluso si alguien tiene acceso a estos textos, son básicamente inútiles. No hay forma de iniciar sesión en tu cuenta de Steam sin ese código en tiempo real y tu contraseña, y si alguna vez se utiliza un código para cambiar algo importante, Steam también envía una confirmación a tu correo electrónico.

"Los mensajes de texto antiguos no pueden utilizarse para vulnerar la seguridad de tu cuenta de Steam", recalca Valve.

Que no cunda el pánico. No hay necesidad de cambiar tu contraseña o número de teléfono.

Valve nunca fue violada y Twilio tampoco

Las primeras teorías apuntaban a Twilio, una empresa conocida por gestionar los SMS para la autenticación de dos factores. Pero tanto Valve como Twilio confirmaron que esta filtración no tenía nada que ver con ninguna de ellas.

Al parecer, los datos procedían de algún punto más abajo en la cadena de entrega de SMS: un proveedor externo que gestionaba la entrega de mensajes. Así que no se trataba de una violación de Steam o de sus sistemas de autenticación. Se trataba de una filtración de registros de entrega antiguos, probablemente extraídos o robados de segunda mano.

Incluso si tu contraseña es segura, merece la pena revisar tu configuración de seguridad de Steam:

• Activa Steam Guard Mobile Authenticator para una mejor protección 2FA.
• Revisa tus dispositivos autorizados para asegurarte de que no hay nada sospechoso.
• Utiliza un gestor de contraseñas (como 1Password o Bitwarden) para generar contraseñas únicas y seguras.

Los códigos SMS siempre fueron una solución provisional. Hoy en día, el 2FA basado en móvil de Steam es mucho más seguro y difícil de interceptar o falsificar.

Y en serio, si todavía escribes "dota2rocks" como contraseña, es hora de jubilar a ese chico malo.

¿Recuerdas los primeros robots de estafa?

Todo este lío también me trae recuerdos de los días más oscuros de Steam en la primera mitad de la década de 2010, cuando las estafas comerciales eran salvajes y los bots enviaban spam a tu bandeja de entrada con enlaces sospechosos como:

"Oye, ¿es este tu artículo? Compruébalo en stearncommunity(punto)com".

Sí. Utilizaban una errata - "stearn" en lugar de "steam"- y engañaban a miles de personas. Por aquel entonces, los bots estafadores abusaban constantemente del sistema de chat y comercio de Steam. Los usuarios recibían ofertas o alertas falsas, hacían clic en enlaces erróneos y perdían el acceso a inventarios enteros llenos de skins de CS:GO.

Comparada con aquella época, esta falsa brecha parece leve. Pero sigue siendo un recordatorio de que los estafadores no se han ido a ninguna parte. Simplemente se han vuelto más sutiles.

No, no han pirateado 89 millones de cuentas. No, tu biblioteca de Steam no está en peligro. Pero si esto te ha provocado un pequeño pico en el ritmo cardíaco, tal vez sea tu señal para volver a comprobar tu configuración y ajustar las cosas.

Steam Guard. Contraseñas seguras. Nada de hacer clic en enlaces aleatorios de Telegram. Ya sabes lo que hay que hacer.

Y oye, al menos esta vez nadie ha tenido que ver cómo todo su inventario de cuchillos Doppler desaparecía en la cuenta de un estafador.