Cuando no hace ni una semana que hablábamos de un ataque realizado contra los foros de una conocida web de videojuegos y el posterior robo de datos de millones de usuarios, hoy nos encontramos con un caso similar pero esta vez dirigido a una de las empresas desarrolladoras referente en el sector como es Epic Games, creadores de las sagas Unreal Tournament y Gears of War (entre otros) y propietarios del motor Unreal Engine, utilizado en muchos otros juegos de otras desarrolladoras.
Aprovechando vulnerabilidades en vBulletin
Las primeras investigaciones apuntan a que se aprovechó una vez más una vulnerabilidad en una versión antigua del conocido software de gestión de foros vBulletin. Gracias a esta vulnerabilidad los atacantes pudieron conseguir información personal de los usuarios, además de su historial de publicaciones, incluyendo mensajes privados.
Entre las 808.000 cuentas de usuario afectadas se encuentran alrededor de medio millón de cuentas relacionadas con los foros de Unreal Engine, el motor desarrollado por esta empresa y que es utilizado por estudios de desarrollo de todos los tamaños. Los datos filtrados incluyen los nombres de usuario, contraseñas cifradas, direcciones de correo, fecha de nacimiento, fecha de registro en el foro y direcciones IP.
Epic ha publicado un comunicado en su web en el que se destaca que las contraseñas de sus usuarios no se han visto afectadas, bien porque estaban cifradas o porque no se consiguieron obtener de alguno de los foros afectados. Sin embargo, esto no debe hacer bajar la guardia de los usuarios afectados, puesto que los responsables de este ataque pueden usar la ingeniería social para engañar a los usuarios haciéndoles creer, por ejemplo, que han recibido un correo de la empresa pidiéndoles restaurar su contraseña y robársela a continuación.
Un problema sin solucionar
Este nuevo ataque se ha producido un año después de otro similar sufrido por la misma compañía y aprovechando una vulnerabilidad parecida. El hecho de que Epic no haya adoptado las medidas adecuadas para evitar que alguien aprovechase de nuevo una vulnerabilidad conocida y que ya les había causado problemas anteriormente es algo preocupante.
Lo normal es que, tras el ataque del año pasado se hubieran revisado los posibles agujeros de seguridad existentes y se hubieran preocupado de mantener actualizado el sistema de gestión de foros vBulletin o, en su defecto, migrado a otra plataforma más segura. Ahora, tras este segundo incidente, parece que finalmente se están adoptando medidas, o al menos eso parece al ver que la web por la que se accede a los foros está en mantenimiento en el momento de escribir estas líneas.
Conclusión
Parece que, de nuevo, la responsabilidad recae sobre los usuarios, ya que otra empresa que debería preocuparse por la seguridad de los datos de sus usuarios no ha hecho bien su trabajo. Estamos ante otro caso más que nos sirve como ejemplo perfecto para recordar la importancia de contar con contraseñas que sean difíciles de averiguar y que no se han de usar en más de un servicio.
En lo que respecta a Epic y a otras empresas que han sufrido casos similares, es un buen momento para replantearse si están haciendo todo lo necesario para mantener seguros sus sistemas y la información que en ellos se almacena. Son precisamente este tipo de incidentes los que provocan desconfianza entre los usuarios y eso es algo que muchas empresas no se pueden permitir.