Phising a Steam. Los jugones de nuevo en el punto de mira

A día de hoy, ser videojugador es algo habitual entre gente de todas las edades. Ya se trate de “casuals” con la única finalidad de pasar un rato entretenido como de “hardcore gamers”, siempre buscando el límite de sus habilidades, los videojuegos son algo cotidiano en nuestra sociedad. Dentro de la amplia oferta lúdica disponible actualmente, los usuarios tienen muchos sistemas donde elegir, ya sean videoconsolas de sobremesa, portátiles (incluyendo teléfonos móviles, tablets, etc) o nuestro ordenador. Precisamente, en plataformas como el PC con Windows y los Mac, uno de los sistemas que más aceptación ha tenido es Steam, una plataforma de distribución/comunidad al estilo de iTunes pero aplicada a videojuegos.

Steam representa el 70% de distribución digital de videojuegos, con millones de usuarios en todo el mundo por lo que se trata de una cantidad de posibles víctimas que los ciberdelincuentes no podían dejar escapar. Igual que hemos visto ataques a otras comunidades de jugadores como los de World of Warcraft o Haboo Hotel, los usuarios de Steam también suelen recibir periódicamente intentos de phishing para tratar de robar sus cuentas. Un ejemplo reciente de este tipo de phishing es el que analizamos a continuación.

Como observamos, el minimalismo en el diseño del correo usado por Steam para comunicarse con sus usuarios hace que sea relativamente fácil suplantar su identidad. Otra cosa son los enlaces ofrecidos que, si bien a simple vista parecen ser legítimos, nos encontramos de nuevo ante un caso de spoofing que suplanta la identidad de esta compañía. Para comparar el nivel de suplantación, podemos observar a continuación un correo auténtico.

Como vemos, se trata de correos prácticamente idénticos con leves diferencias gráficas que la mayoría de usuarios no notaría a simple vista. Si hay algo que delata el correo falso es el baile de fechas que sufre, ya que nos indica que nuestra cuenta será desactivada el día 11 de febrero y el mensaje fue enviado el día 15. No obstante, muchos usuarios no caerán en este detalle y solo se fijarán en la amenaza de suspensión de su apreciada cuenta, pulsando rápidamente sobre el enlace proporcionado.

A partir de ese momento el usuario queda a merced del ciberdelincuente, quienes, en la mayoría de casos de phishing similares, intentará hacerse con los datos de acceso para después hacer negocio con ellos. Igual que vimos hace poco con la venta de cuentas de iTunes robadas, muchas de estas cuentas tienen asociadas tarjetas de crédito con saldo por lo que, hacerse con una de estas cuentas robadas permite hacerse con una colección de juegos a costa del usuario que ha sufrido el robo.

No obstante, en la mayoría de casos de phishing es fácil saber cuando la página a la que pretendemos acceder ha sido suplantada y, en este caso, es tan simple como verificar que la conexión se realiza sobre un protocolo seguro (https). Aunque existen técnicas para hacer creer al usuario que se encuentra en una página segura, la mayoría de casos de phishing no son tan elaborados.

Igual que en los casos de robo de contraseñas de juegos online o de cuentas de tiendas como iTunes, este tráfico de credenciales robadas resulta más difícil de perseguir que el phishing bancario. Aunque el beneficio directo para el ciberdelincuente sea menor que el robo de datos de tarjetas de crédito o de acceso a cuentas bancarias, la mayor impunidad con la que trafican con este otro tipo cuentas robadas hace que esta variedad de phishing sea muy rentable. Como ejemplo tenemos el ranking de amenazas detectadas, donde los troyanos destinados a robar credenciales de juegos online llevan años entre las tres primeras.

Para poder disfrutar de la experiencia lúdica y comodidad que proporcionan servicios como Steam sin contratiempos, desde el laboratorio de ESET en Ontinet.com recomendamos desconfiar de correos como el que hemos analizado, acudiendo directamente a la web de soporte en caso de dudas y evitando pulsar sobre enlaces directos que nos pueden redirigir a sitios maliciosos.

Josep Albors