Un número desconocido (pero amplio) de cuentas de Path of Exile 2 han sido hackeadas desde que el juego se lanzó en fase de acceso anticipado en Steam. Aunque se pensaba en una actividad maliciosa, hasta ayer no hemos conocido oficialmente los motivos. Y es un clásico en el mundo de los hackeos: vulnerar una cuenta administrativa para controlar las demás.

Path of Exile 2 es un juego de rol de acción publicado por Grinding Gear Games, como secuela del aclamado juego gratuito de fantasía oscura Path of Exile. Aunque actualmente se encuentra en fase de acceso anticipado, el título disfruta de críticas muy positivas y ha sido capaz de llegar al top-3 de usuarios simultáneos en Steam, donde ha formado una comunidad dedicada de decenas de miles de jugadores. Y muchos más que esperan el lanzamiento de la versión final, que, curiosamente, frente a la versión temprana que es de pago, será totalmente gratuita como el original de la saga.

El misterio de las cuentas de Path of Exile 2

El juego se lanzó con bastante estabilidad, perfectamente jugable a pesar de la fase de desarrollo. Tenía fallitos aquí y allá, pero nada que penalizara la experiencia. Lo que no se esperaba es que una ola de jugadores se quejaran en los foros del juego y redes sociales de que su inventario se había quedado vacío y que habían perdido sus mejores objetos. En un ARPG (tipo Diablo) imagina las decenas o centenares de horas que cuesta lograr determinados objetos. No se sabía si los motivos eran de seguridad o por fallos del mismo desarrollo.

Revelación del fallo de seguridad

El misterio se desveló ayer por el director del juego, Jonathan Rogers, confirmando que se trataba de un fallo de seguridad. Resulta que un pirata informático (o grupo) logró hacerse con una cuenta de administración del estudio y a partir de ahí cambió las contraseñas de las cuentas de usuarios para hacerse con su control. Según explican, el hacker tenía acceso a la cuenta administrativa y el panel de control antes del lanzamiento del juego y estuvo esperando a que los jugadores lograsen los mejores objetos.

Tanto las cuentas de Steam como las cuentas independientes a través del cliente propio de PoE2, fueron vulneradas sin activar una solicitud de código de autenticación de dos factores. Las personas que fueron víctimas de estos ataques se encontraron abruptamente desconectadas del juego y de Steam.

Consecuencias del ataque

Cuando lograron recuperar el acceso con la ayuda del soporte del sitio de Valve, descubrieron que los piratas informáticos habían robado todos sus elementos del juego, incluidos elementos valiosos como orbes divinos y equipo del final del juego. El soporte de PoE ha informado que las reversiones y la restauración de objetos robados eran imposibles, por lo que el daño es irreversible.

Medidas de seguridad adoptadas

Además del hackeo de la cuenta de administración, los desarrolladores admitieron errores y brechas de seguridad en el backend del juego que podrían haber evitado los ataques, llegando a asegurar que «la cagamos totalmente aquí». El estudio Grinding Gear Games aseguró a sus jugadores que se han introducido medidas de seguridad después del incidente, incluida la eliminación de la capacidad de vincular cuentas de Steam a cuentas administrativas. Todo un clásico en ciberseguridad, ya que muchas de las violaciones de datos en los grandes servicios han llegado tras el robo de este tipo de cuentas y/o el robo de identidad de responsables de cuentas administrativas.