Ciberseguridad en eSports y games: no se trata de un juego

Hace ya algunos años que vengo insistiendo en la necesidad de contar con soluciones específicas de ciberseguridad para los entornos de los videojuegos o, dicho de otra forma, de que nos tomemos en serio la seguridad en los juegos.

De ahí este artículo, cuyo objetivo es explicar de manera clara y concisa por qué este ámbito es uno de los principales “campos de batalla” actuales de la ciberseguridad.

Y, como solemos hacer los informáticos, por aquello de las tres copias de un archivo, lo voy a justificar por triplicado, con tres razones de peso.

La cuestión técnica

Buena parte de las ciberamenazas comunes tienen su versión gamer. Así podemos ver:

• Robos de cuentas y credenciales
• Robo de ítems digitales
• Estafas y timos
• Secuestro de cuentas
• Usurpación de identidad
• Fraudes de pago
• Robo de tokens
• Phising y pharming…

De hecho, es lógico, dado que las redes de jugadores de hoy en día unifican multitud de servicios comunes a otras plataformas:

• Son redes sociales, como Facebook o Twitter: se pueden subir fotos, vídeos, estados…
• Sistemas de mensajería instantánea, como WhatsApp o Telegram
• Son plataformas multimedia, como Youtube o Twitch, para subir audio, vídeo e incluso hacer streaming
• Usan medios de pago, como Amazon o eBay
• Contienen información personal, como preferencias o ubicaciones

No es de extrañar, por tanto, que al incluir estos servicios sean también objeto de todas las vulnerabilidades asociadas a ellos. De hecho, prácticamente todos los ciberdelitos comunes tienen su “modo gamer”, lo cual debe convertirse en un reto para las empresas de ciberseguridad. Deberían aprovechar esta vulnerabilidad para usar el gaming como excusa para divulgar la seguridad. Si se consiguen contextualizar las habituales amenazas será posible llegar con facilidad al público gamer. No olvidemos que la seguridad es un sentimiento, y la concienciación pasa por adquirir conocimiento sobre aquello que queremos proteger.

La cuestión ética

Aunque ya somos legión todos los aficionados a los juegos que estamos en “avanzada edad adulta”, hay que reconocer que los videojuegos siguen siendo un producto mayoritariamente juvenil, con buena parte, sorprendentemente menos de lo que imagináis, de público menor de edad. En cualquier caso, es un tipo de target a menudo menos experimentado, más confiado y también más impulsivo a la hora de hacer un juicio crítico sobre la identidad real de la persona que está detrás de un contacto.

Por tanto, como parte de nuestra responsabilidad de velar por la población más vulnerable, debemos prestar especial atención a las medidas de seguridad y concienciación básicas respecto al uso de la tecnología en entornos gamers.

La cuestión económica

“Donde haya dinero online, habrá ciberdelincuentes” es la gran máxima y tengamos en cuenta que el gaming ocupa la segunda posición del podio del gasto en ocio online (aproximadamente el 20 por ciento), solo superado por el sector de las apuestas (32 por ciento).

Por tanto, con millones de usuarios y euros/dólares en circulación, ¿cómo no va a ser un objetivo principal de los ciberdelincuentes? Por ello las empresas de seguridad necesitan dotar a los entornos gamer de propuestas ad hoc y medidas específicas para proteger sus activos, su negocio y a sus clientes y usuarios. Y esto representa claras oportunidades de negocio.

La pregunta que suele hacerse entonces es: ¿Es que no sirven las múltiples soluciones de seguridad ya existentes? Y esto nos lleva a una última razón:

La cuestión específica

Hasta ahora las mayores compañías de ciberseguridad apenas han realizado esfuerzos en esta materia, de forma que son las propias empresas de nicho del mundo de los videojuegos las que están autosatisfaciendo sus propias demandas. Por ejemplo, STEAM, de Valve Software, tiene su propia solución de autenticación y autorización de segundo factor (2FA), llamada “Steam Guard”, o EPIC GAMES (propietaria del popularísimo “Fornite”) también usa una solución bajo el estándar TOTP.

Pondré dos ejemplos que muestran por qué las soluciones “tradicionales” de seguridad no son aplicables en este sector. En primer lugar, las soluciones tradicionales se basan en el protocolo TCP, bajo el cual funciona la mayoría de las estructuras cliente-servidor, como las aplicaciones móviles. Sin embargo, las redes de gaming suelen usar protocolo UDP, el cual prima la “efectividad” más que la garantía de entrega y fiabilidad de los datos como hace el protocolo TCP.

De igual forma ocurre con la latencia: muchas de las soluciones de seguridad tradicionales añaden 100, 200 o más milisegundos de retraso en cada transacción, que resultan una absoluta eternidad en términos gamer y que arruinaría la experiencia de usuario.

Por tanto, esta carencia significa una oportunidad para las empresas dedicadas a la ciberseguridad, ya que el mercado del videojuego no para de crecer y cada vez es más online y, por tanto, más vulnerable.

En resumen, como decía al principio, la ciberseguridad tiene un nuevo campo de batalla casi sin explorar en el mundo del videojuego, en el que los ciberdelincuentes están campando en la actualidad a sus anchas. Y nuestro “call of duty” (llamada del deber) es asumir la parte de responsabilidad que eso implica, y responder a ese ataque.

¡Nos vemos en los servers!