Filtran 802.000 cuentas robadas durante el Mundial: el lado oscuro del streaming deportivo

¿Qué ha ocurrido?

El 27 de junio, último día de la fase de grupos del Mundial, HUMAN Security Satori Threat Intelligence detectó la publicación de 802.000 cuentas robadas en la dark web. Estas credenciales pertenecen a 10 servicios de streaming que retransmiten los partidos. En total, más de 12 millones de cuentas comprometidas están circulando, con un valor estimado en el mercado negro de 220 millones de dólares. Los datos, obtenidos mediante técnicas de credential stuffing y phishing, incluyen nombres de usuario, correos electrónicos y contraseñas en texto plano o con hash débil. Según HUMAN Security, el ataque se concentró en servicios populares como ESPN+, DAZN, Sky Go y plataformas locales de países como Brasil, Argentina y México. La publicación masiva se realizó en foros de la dark web como Exploit.in y Russian Market, donde los ciberdelincuentes venden lotes de credenciales a precios que oscilan entre 10 y 50 dólares por cuenta, dependiendo de la antigüedad y la verificación.

¿Por qué es importante?

Los eventos deportivos en vivo son un imán para los ciberdelincuentes. La urgencia por ver los partidos lleva a muchos usuarios a descuidar la seguridad: reutilizan contraseñas, usan redes WiFi públicas y descargan apps no oficiales. Este ataque demuestra que las plataformas de streaming también son vulnerables y que los datos robados pueden usarse para fraudes financieros, suplantación de identidad o ataques de relleno de credenciales. En particular, el credential stuffing —donde los atacantes prueban las credenciales robadas en otros servicios como bancos o redes sociales— representa un riesgo sistémico. Según un informe de Akamai de 2023, el 34% de los ataques de credential stuffing a nivel global están relacionados con eventos deportivos en vivo. Además, el valor de 220 millones de dólares se calcula basándose en el precio promedio de una cuenta de streaming verificada en el mercado negro (unos 18 dólares), pero el daño potencial es mucho mayor si se considera el acceso a cuentas vinculadas a métodos de pago.

Consecuencias para empresas, usuarios y mercado

• Para los usuarios: Riesgo de robo de identidad, cargos no autorizados y pérdida de acceso a servicios. Se recomienda cambiar contraseñas y activar la autenticación de dos factores. Además, los usuarios deben revisar sus estados de cuenta bancarios en busca de transacciones sospechosas, ya que muchas cuentas de streaming tienen tarjetas de crédito asociadas.
• Para las plataformas de streaming: Daño reputacional y posible demanda por negligencia en seguridad. Deberán invertir en sistemas de detección de intrusiones y educación del usuario. Algunas plataformas, como DAZN, ya han implementado verificación en dos pasos obligatoria, pero otras aún dependen de contraseñas débiles. El coste de mitigación para una plataforma mediana puede superar los 5 millones de dólares, incluyendo notificaciones a usuarios, restablecimiento masivo de contraseñas y auditorías de seguridad.
• Para el mercado: Aumento de la demanda de servicios de monitoreo de dark web y ciberseguro. Las empresas de streaming podrían enfrentar mayores costos operativos y regulatorios. Por ejemplo, en la Unión Europea, el Reglamento General de Protección de Datos (GDPR) impone multas de hasta el 4% de la facturación anual por filtraciones. Además, se espera que el mercado global de ciberseguro crezca un 25% interanual, alcanzando los 20 mil millones de dólares en 2027, impulsado por incidentes como este.

Lecciones aprendidas y contexto histórico

No es la primera vez que un evento deportivo masivo desata una ola de ciberataques. En los Juegos Olímpicos de Tokio 2020 se registraron 450 millones de intentos de ciberataques, según datos de la empresa de seguridad Trend Micro. Durante la Copa Mundial de 2018, se detectaron más de 2 millones de credenciales robadas relacionadas con servicios de streaming, pero la cifra actual es seis veces mayor. En la Super Bowl de 2024, un ataque similar comprometió 1.5 millones de cuentas de servicios como Hulu y YouTube TV. Sin embargo, la escala de este incidente, con 12 millones de cuentas comprometidas, lo convierte en el mayor robo de credenciales de streaming deportivo de la historia. Comparativamente, la filtración de LinkedIn en 2021 expuso 700 millones de registros, pero en el ámbito del streaming deportivo, este ataque supera incluso al de la plataforma Twitch en 2021, que afectó a 125.000 cuentas.

“Los ciberdelincuentes aprovechan la emoción del momento para pescar datos. La seguridad debe ser parte del ritual del fanático”, advierte un analista de HUMAN Security.

El modus operandi es similar al de ataques previos: los atacantes utilizan bots para probar credenciales filtradas de otras brechas (como la de Collection #1-5, que contenía 2.2 mil millones de credenciales) contra los servicios de streaming. Además, emplean técnicas de phishing dirigido, enviando correos falsos con ofertas de transmisión gratuita o actualizaciones de cuenta. Una vez que obtienen acceso, los atacantes pueden revender las cuentas o utilizarlas para lanzar ataques de relleno de credenciales en otros sitios.

¿Qué deben saber los lectores?

Si usaste servicios de streaming para ver el Mundial, cambia tus contraseñas inmediatamente. No uses la misma clave en múltiples sitios. Activa la autenticación de dos factores. Desconfía de ofertas de streaming gratuito o apps no oficiales. Y recuerda: tu pasión por el fútbol no debería poner en riesgo tu seguridad digital. Además, considera utilizar un gestor de contraseñas y monitorear tus cuentas con servicios como Have I Been Pwned. Para las empresas, es crucial implementar medidas como la detección de anomalías en los inicios de sesión, la limitación de tasas (rate limiting) y la educación continua de los usuarios sobre phishing. La colaboración con equipos de inteligencia de amenazas, como el Satori de HUMAN Security, puede ayudar a identificar y mitigar ataques antes de que se materialicen.