Humble Bundle remove autenticação de dois fatores em novo site

O Humble Bundle, a loja de pacotes de jogos digitais famosa por seus bundles solidários, lançou uma nova versão de seu site este mês — mas a redesign eliminou uma das funcionalidades de segurança mais importantes: a autenticação de dois fatores (2FA). Usuários que já haviam ativado o recurso foram surpreendidos ao descobrir que, no novo sistema, ele simplesmente não existe mais.

A mudança foi notada inicialmente por usuários no subreddit r/humblebundles no dia 11 de novembro, quando o desenvolvedor de jogos Jason Hall, conhecido como "Pirate Software", alertou nas redes sociais que a opção de 2FA havia desaparecido do fluxo de login e "não aparece em lugar nenhum nas configurações"[1]. A notícia se espalhou rapidamente por fóruns como ResetEra, SpaceBattles e Hacker News.

O que sumiu

Até o relançamento, o Humble Bundle oferecia o que chamava de "Two-Step Verification": após inserir a senha, o site solicitava um código gerado pelo Google Authenticator[2]. Mesmo contas sem essa configuração tinham o "Humble Guard", um código enviado por e-mail sempre que o login vinha de um navegador ou dispositivo novo.

Na nova interface, a seção "Segurança" nas configurações da conta é um cabeçalho discreto no rodapé da página, contendo apenas um item: o campo para atualizar a senha, com um botão "Atualizar"[3]. Não há menção a autenticação de dois fatores, nem para ativá-la nem para desativá-la.

O sistema de login do novo site oferece três opções de entrada: senha tradicional, código temporário enviado por e-mail ou autenticação via Google. O código por e-mail funciona como alternativa de login, não como segundo fator — ou seja, a senha sozinha já basta para acessar a conta. O botão "Atualizar" permite mudar a senha; ao fazê-lo, o site envia um código de confirmação por e-mail, mas após isso, a nova senha sozinha é o único fator necessário para logar novamente.

Um detalhe revelador: o código-fonte da página de configurações ainda carrega o texto de uma seção "Verificação de Dois Passos" com opções para "Google Authenticator" e "SMS (Authy)" — o que sugere que a funcionalidade foi planejada para o novo site e deixada de fora no lançamento, em vez de ter sido removida intencionalmente.

Problemas adicionais de segurança

O impacto não se limita ao 2FA. A Kotaku testou duas vulnerabilidades adicionais que o redesign introduziu: qualquer pessoa com sessão ativa pode alterar a senha da conta sem precisar informar a senha atual[4], e ao mudar o e-mail associado, nenhuma verificação é enviada para o endereço antigo — a confirmação vai apenas para o novo e-mail. Esses dois comportamentos são protocolos padrão de segurança que impedem que um invasor que tenha ganhado acesso à sessão altere as credenciais.

A própria página de suporte do Humble Bundle continua recomendando a ativação do 2FA em seu guia de segurança de contas[5], criando uma divergência absurda entre o que o site ensina e o que ele oferece na prática.

Por que isso importa

Muitos clientes do Humble Bundle compram pacotes com um ou dois jogos e guardam as chaves restantes na biblioteca por anos. Essas chaves são exatamente o que um invasor procuraria: uma chave Steam, GOG ou Epic funciona na conta que a resgatar primeiro. As próprias regras de suporte do Humble Bundle reconhecem a gravidade — o suporte pode substituir chaves de compras dos últimos 14 dias, mas "não conseguimos substituir chaves de compras anteriores", conforme declarado na página de FAQ[6].

Além das chaves de jogos, contas do Humble Bundle armazenam informações de pagamento (cartões salvos e PayPal para checkout) e a assinatura do Humble Choice. Tudo isso fica exposto sem a proteção de um segundo fator de autenticação.

O vetor de ataque é conhecido e amplamente explorado: credenciais de e-mail e senha vazadas de outros serviços são testadas rotineiramente em grandes lojas online. A autenticação de dois fatores é exatamente a barreira que impede que uma senha reutilizada funcione em outro serviço. Sem ela, basta que você tenha usado a mesma senha em um serviço que sofreu vazamento para que um invasor consiga acesso.

O sistema técnico por trás

O novo sistema de login roda em auth.humblebundle.com e usa Ory, um serviço terceário de autenticação[3]. A documentação do Ory Kratos lista explicitamente aplicativos authenticator, chaves de segurança e códigos SMS ou por e-mail como fatores segundos de autenticação, tratando o 2FA como uma funcionalidade que o proprietário do projeto habilita no projeto[7]. Ou seja: a plataforma subjacente suporta autenticação de dois fatores. Ela simplesmente não está habilitada no projeto do Humble Bundle.

Contexto corporativo

A Ziff Davis, controladora do Humble Bundle (que é propriedade do IGN desde 2017), mencionou publicamente o redesenho durante sua chamada de resultados do terceiro trimestre. O CEO Vivek Shah afirmou que a plataforma antiga tinha elementos que "interferiam com conversões e experiência do cliente"[8]. Não ficou claro se a remoção do 2FA foi uma decisão consciente de priorizar métricas de conversão em detrimento da segurança, ou se trata de uma falha de implementação durante a migração.

A empresa não emitiu declaração pública sobre o problema até o momento da publicação. Nenhum dos principais veículos que cobriram a notícia recebeu resposta da empresa.

Enquanto o problema não é resolvido, a recomendação de especialistas em segurança é clara: use uma senha longa e aleatória, exclusiva do Humble Bundle; rescate todas as chaves de jogos pendentes para plataformas como Steam, GOG ou Epic; remova cartões de crédito salvos; e ignore e-mails suspeitos que ofereçam "restaurar" o 2FA — esse tipo de mudança é exatamente o material que cibercriminosos usam para phishing.

A pergunta que fica: em um cenário onde a segurança é vendida como prioridade em guias de suporte, o que mais foi sacrificado no altar da experiência do cliente?

Fontes: Privacy Affairs, Heise Online, Kotaku

✓ Fontes independentes cruzadas e verificadas antes da publicação