Humble Bundle elimina la autenticación de dos factores en el rediseño del nuevo sitio web

Humble Bundle, la tienda de paquetes de juegos digitales famosa por sus bundles solidarios, lanzó una nueva versión de su sitio web este mes, pero el rediseño eliminó una de las funcionalidades de seguridad más importantes: la autenticación de dos factores (2FA). Los usuarios que ya habían activado el recurso se encontraron con la sorprendente realidad de que, en el nuevo sistema, simplemente no existe.

El cambio fue detectado inicialmente por usuarios en el subreddit r/humblebundles el 11 de noviembre, cuando el desarrollador de juegos Jason Hall, conocido en línea como "Pirate Software", alertó en redes sociales que la opción de 2FA había desaparecido del flujo de inicio de sesión y "no aparece en ningún lugar en las configuraciones"[1]. La noticia se difundió rápidamente por foros como ResetEra, SpaceBattles y Hacker News.

Qué desapareció

Hasta el relanzamiento, Humble Bundle ofrecía lo que llamaba "Verificación de Dos Pasos": después de ingresar la contraseña, el sitio solicitaba un código generado por Google Authenticator[2]. Incluso las cuentas sin esa configuración tenían el "Humble Guard", un código enviado por correo electrónico siempre que el inicio de sesión provenía de un navegador o dispositivo nuevo.

En la nueva interfaz, la sección "Seguridad" en las configuraciones de cuenta es un encabezado discreto en la parte inferior de la página, que contiene solo un elemento: el campo para actualizar la contraseña, con un botón "Actualizar"[3]. No hay mención de autenticación de dos factores, ni para activarla ni para desactivarla.

El sistema de inicio de sesión del nuevo sitio ofrece tres opciones de entrada: contraseña tradicional, código temporal enviado por correo electrónico o autenticación vía Google. El código por correo electrónico funciona como alternativa de inicio de sesión, no como segundo factor — es decir, la contraseña por sí sola ya basta para acceder a la cuenta. El botón "Actualizar" permite cambiar la contraseña; al hacerlo, el sitio envía un código de confirmación por correo electrónico, pero después de eso, la nueva contraseña por sí sola basta para iniciar sesión.

Un detalle revelador: el código fuente de la página de configuraciones aún carga el texto de una sección "Verificación de Dos Pasos" con opciones para "Google Authenticator" y "SMS (Authy)" — lo que sugiere que la funcionalidad fue planeada para el nuevo sitio y dejada de lado en el lanzamiento, en vez de haber sido removida intencionalmente.

Problemas adicionales de seguridad

El impacto no se limita al 2FA. Kotaku probó dos vulnerabilidades adicionales que el rediseño introdujo: cualquier persona con sesión activa puede cambiar la contraseña de la cuenta sin necesidad de informar la contraseña actual[4], y al cambiar el correo electrónico asociado, ninguna verificación es enviada a la dirección antigua — la confirmación va únicamente a la nueva dirección. Estos dos comportamientos son protocolos estándar de seguridad que impiden que un atacante que haya ganado acceso a la sesión altere las credenciales.

La propia página de soporte de Humble Bundle continúa recomendando la activación del 2FA en su guía de seguridad de cuentas[5], creando una divergencia absurda entre lo que el sitio enseña y lo que ofrece en la práctica.

Por qué importa

Muchos clientes de Humble Bundle compran paquetes con uno o dos juegos y guardan las claves restantes en la biblioteca por años. Esas claves son exactamente lo que un atacante buscaría: una clave Steam, GOG o Epic funciona en la cuenta que la canjee primero. Las propias reglas de soporte del Humble Bundle reconocen la gravedad: el soporte puede reemplazar claves de compras de los últimos 14 días, pero "no podemos reemplazar claves de compras anteriores", según declarado en la página de FAQ[6].

Además de las claves de juegos, las cuentas de Humble Bundle almacenan información de pago (tarjetas guardadas y PayPal para checkout) y la suscripción Humble Choice. Todo esto queda expuesto sin la protección de un segundo factor de autenticación.

El vector de ataque es conocido y ampliamente explotado: credenciales de correo electrónico y contraseña filtradas de otros servicios son probadas rutinariamente en grandes tiendas en línea. La autenticación de dos factores es exactamente la barrera que impide que una contraseña reutilizada funcione en otro servicio. Sin ella, basta con que hayas usado la misma contraseña en un servicio que sufrió una filtración para que un atacante obtenga acceso.

El sistema técnico detrás

El nuevo sistema de inicio de sesión corre en auth.humblebundle.com y usa Ory, un servicio de autenticación tercero[3]. La documentación de Ory Kratos lista explícitamente aplicaciones authenticator, llaves de seguridad y códigos SMS o por correo electrónico como factores segundos de autenticación, tratando el 2FA como una funcionalidad que el propietario del proyecto habilita en su proyecto[7]. Es decir: la plataforma subyacente soporta autenticación de dos factores. Simplemente no está habilitada en el proyecto de Humble Bundle.

Contexto corporativo

Ziff Davis, la empresa matriz de Humble Bundle (que pertenece a IGN desde 2017), mencionó públicamente el rediseño durante su llamada de resultados del tercer trimestre. El CEO Vivek Shah afirmó que la plataforma antigua tenía elementos que "interferían con las conversiones y la experiencia del cliente"[8]. No quedó claro si la eliminación del 2FA fue una decisión consciente de priorizar métricas de conversión en detrimento de la seguridad, o si se trata de un fallo de implementación durante la migración.

La empresa no ha emitido declaración pública sobre el problema hasta el momento de la publicación. Ninguno de los principales medios que cubrieron la noticia recibió respuesta de la empresa.

Mientras el problema no se resuelva, la recomendación de especialistas en seguridad es clara: usa una contraseña larga y aleatoria, exclusiva del Humble Bundle; rescata todas las claves de juegos pendientes hacia plataformas como Steam, GOG o Epic; elimina tarjetas de crédito guardadas; e ignora correos sospechosos que ofrezcan "restaurar" el 2FA — este tipo de cambio es exactamente el material que los cibercriminales usan para phishing.

La pregunta que queda: en un escenario donde la seguridad se vende como prioridad en guías de soporte, ¿qué más fue sacrificado en el altar de la experiencia del cliente?

Fuentes: Privacy Affairs, Heise Online, Kotaku

✓ Fuentes independientes cruzadas y verificadas antes de la publicación