Cuidado: Así han conseguido robar miles de cuentas de Steam en las últimas horas

Esta es la nueva estafa tipo phising que está causando problemas a los usuarios de Steam. Revisa tus ajustes de privacidad.

Más historias en la categoría PC

No te pierdas nada y ¡Síguenos en Google News!

En los últimos días, Steam está sufriendo un ataque phising bastante sofisticado. El objetivo de los atacantes no es otro que el de localizar cuentas por valor de más de 100.000 dólares y secuestrarlas. Obviamente, no todo queda aquí, también consiguen tener acceso a datos personales, de facturación y muchos más de miles de usuarios. El alcance del ataque está siendo extenso, tanto que ya se considera un riesgo de nivel 2.

La manera en la que los delincuentes están secuestrando cuentas es bastante básica, pero por surrealista que parezca, sigue funcionando a día de hoy. El método elegido es el BiTB (Browser-in-the-Browser), que básicamente lo que hace es lanzar ventanas emergentes que son casi un calco de las oficiales. Antaño, las faltas de ortografía o poco trabajo de diseño hacían que detectar este tipo de engaños fuese sencillo, pero en la actualidad los atacantes se han vuelto mucho más finos.

Así es el nuevo timo de Steam

Los responsables de «destapar la liebre» ha sido el equipo del Group-IB, quienes aseguran que el target objetivo de este ataque son profesionales del gaming como desarrolladores, o personalidades competitivas en el mundo eSports. Sin embargo nadie está a salvo de perder su cuenta o juegos.

El proceso que sigue esta estafa es el siguiente:

Recibes una invitación a un falso torneo por mensaje directo.
El mensaje contiene un enlace que redirige a la supuesta página oficial del torneo.
Los torneos suelen ser de juegos como League of Legends, PUBG, Valorant, etc.
La web a la que redirige el mensaje es vistosa, como si de un torneo eSports real se tratase.
Una vez dentro de la web fraudulenta, te pedirá loguearte con tu cuenta de Steam.
Una vez has dado tus datos, adiós a tu cuenta.

Sorprende que la web en realidad es un elemento que se inserta dentro de la web de Steam, no es un pop-up al uso. Además, cuenta con certificado SSL y pedirá al usuario que use su app de verificación en dos factores.

¿Cómo evitar este fraude?

Pues no hay muchas recomendaciones al respecto más allá de tener cuidado con donde dejas tus datos. Si puedes cambiar tu contraseña ya, mi consejo es que lo hagas. Eso y que generes un nuevo token para la autentificación en dos factores si usas aplicaciones como Google o Microsoft Autenticator.

Claro está que algunos bloqueadores de pop-ups o javascript pueden ayudar a no caer en este tipo de movidas. Eso o algún buen protector en tiempo real.