Un presunto incidente de ciberseguridad ha sacudido el ecosistema de Steam, la plataforma de videojuegos para PC más grande del mundo, después de que un actor de amenazas afirmara haber accedido a más de 89 millones de registros de usuarios, incluyendo códigos de acceso de un solo uso (OTP). Sin embargo, tanto Twilio, proveedor de servicios de comunicación en la nube, como Valve Corporation, propietaria de Steam, han negado rotundamente haber sido comprometidos.
Actor de amenazas afirma tener datos sensibles de Steam
El ciberatacante, que opera bajo el alias Machine1337 (también conocido como EnergyWeaponsUser), aseguró haber obtenido los datos a través de un ataque a la infraestructura de Steam. Ofreció vender el supuesto tesoro de información por 5.000 dólares, lo que generó preocupación inmediata entre los usuarios y expertos en ciberseguridad.
Análisis preliminar de los datos filtrados
Según el medio especializado BleepingComputer, los archivos proporcionados por el atacante contenían alrededor de 3.000 registros, donde se podían ver mensajes SMS con códigos de autenticación de un solo uso (OTP) enviados a usuarios de Steam, incluyendo números de teléfono asociados.
Estos códigos suelen usarse para:
- Acceder a cuentas protegidas por autenticación de dos factores (2FA).
- Asociar números de teléfono a cuentas Steam.
- Confirmar transacciones dentro de la plataforma.
Algunos de los mensajes estaban fechados en marzo de 2025, lo que sugiere que los datos son recientes.
¿Comprometida la cadena de suministro? La posible implicación de Twilio
El periodista independiente MellowOnline1, creador del grupo comunitario SteamSentinels, que monitorea fraudes y abusos en la plataforma, propuso que el ataque podría tratarse de un compromiso en la cadena de suministro, apuntando directamente a Twilio.
Citar"Los datos contienen entradas de registro de sistemas backend en tiempo real de Twilio", indicó, sugiriendo la posible comprometida de una cuenta de administrador o abuso de claves API.
Twilio, que ofrece soluciones de comunicación como mensajería SMS, llamadas de voz y verificación 2FA, es ampliamente utilizado por aplicaciones como Steam para autenticar a sus usuarios.
Twilio niega violación de seguridad
Consultada por BleepingComputer, Twilio emitió un comunicado inicial confirmando que investigaban el incidente, pero más tarde aclararon que no habían sido víctimas de una violación.
Citar"No hay evidencia que sugiera que Twilio fue violado. Hemos revisado una muestra de los datos encontrados en línea, y no vemos ninguna indicación de que estos datos se hayan obtenido de nuestros sistemas", indicó un portavoz de la compañía.
Este comunicado sugiere que, de haber existido una filtración, esta podría haberse originado en un proveedor de servicios de SMS intermediario, ajeno tanto a Twilio como a Steam directamente.
Steam también niega haber sido hackeado
Valve Corporation, propietaria de Steam, también negó categóricamente cualquier acceso no autorizado a sus sistemas en una actualización publicada el 15 de mayo de 2025.
Citar"El conjunto de datos filtrado parece contener códigos SMS de un solo uso válidos solo durante 15 minutos. Estos códigos ya no pueden ser utilizados", dijo Steam en su comunicado oficial.
Steam aseguró que no se requiere ninguna acción por parte de los usuarios, y que las cuentas permanecen seguras.
Posible origen de los datos y brecha en proveedores de SMS
Aunque la filtración aún está bajo investigación, los expertos coinciden en que una posible explicación es una brecha de seguridad en un proveedor de servicios SMS externo, utilizado para enviar códigos 2FA entre Steam y sus usuarios, probablemente a través de Twilio o plataformas similares.
Este tipo de ataque encaja en lo que se conoce como "compromiso de terceros" o "ataques a la cadena de suministro", donde el objetivo no es directamente la empresa principal, sino los proveedores de servicios que manipulan datos sensibles de forma indirecta.
Medidas de protección recomendadas para usuarios de Steam
Ante la incertidumbre, se recomienda a los usuarios de Steam seguir buenas prácticas de ciberseguridad para evitar accesos no autorizados a sus cuentas. Entre ellas:
- Activar el Steam Guard Mobile Authenticator para proteger las cuentas con autenticación en dos pasos.
- Supervisar regularmente la actividad de la cuenta.
- Estar atentos a mensajes SMS sospechosos o códigos no solicitados.
Steam también ofrece métodos adicionales de seguridad, como contraseñas temporales (TOTP), autenticación por push, y verificación silenciosa de dispositivos confiables, a través de servicios como Twilio Verify API.
En conclusión, aunque el actor de amenazas afirma haber comprometido los sistemas de Steam o Twilio, las pruebas disponibles apuntan a un posible problema de seguridad en un intermediario de servicios SMS. Ni Steam ni Twilio han confirmado violaciones directas, y ambos han tomado medidas para tranquilizar a los usuarios y reforzar su postura de seguridad.
El caso refuerza la importancia de fortalecer la ciberseguridad en la cadena de suministro digital, especialmente en servicios de autenticación, donde una aparente brecha menor puede tener consecuencias masivas si se explota de forma adecuada.
Fuente: No tienes permitido ver enlaces. Registrate o Entra a tu cuenta
en la función de llamadas de voz de la app para instalar Pegasus sin interacción del usuario. El fallo se ejecutó 43 veces desde servidores con sede en California durante mayo de 2019.
