Humble Bundle, la tienda en línea que vende videojuegos y paquetes de software, dejó sin la verificación en dos pasos a sus usuarios tras estrenar un nuevo diseño de su sitio. Según Kotaku, la opción para activarla desapareció de los ajustes de seguridad de la cuenta.
La verificación en dos pasos pide un código temporal, además de la contraseña, para entrar a una cuenta. PC Gamer informó que quienes la habían activado en el sitio anterior ahora pueden ingresar solo con correo y contraseña, y que en ningún momento del inicio de sesión se les pide el código.
El medio también señaló que Humble Bundle no menciona la eliminación en su sitio y que consultó a la empresa si el cambio fue intencional, sin obtener respuesta. Las páginas de ayuda de la compañía siguen explicando cómo activar la función y animan a usarla, aunque el menú que describen ya no existe.
Kotaku, que probó su propia cuenta, informó que con la sesión iniciada se puede fijar una contraseña nueva sin escribir la actual, y que al cambiar el correo asociado, el mensaje de verificación llega solo a la dirección nueva y no a la anterior.
Neowin recogió los mismos reportes de usuarios y agregó que la barra de búsqueda de la biblioteca parece fallar y que ya no existen los filtros de juegos canjeados y sin canjear. Kotaku sumó que el sitio no mantiene la sesión abierta entre visitas.
El sitio alemán Golem citó a un usuario que afirma que el nuevo límite de contraseña es de 72 caracteres: con una clave más larga ya no pudo entrar. Según esa publicación, restablecer la contraseña solo exige el correo registrado.
The Verge hizo su propia prueba y obtuvo un resultado distinto en un punto: al iniciar sesión recibió un código de acceso por correo electrónico. También pudo cambiar la contraseña sin ingresar la anterior. Su periodista señaló que, aunque tiene configurado un código rotativo en su aplicación de contraseñas, el sitio no se lo pidió.
Aftermath, por su parte, indicó que algunos usuarios de Reddit aseguran que la función volvió a estar habilitada en sus cuentas. Ese medio agregó que las novedades del sitio incluyen nuevas opciones de pago, páginas de paquetes y un acceso con código en lugar de contraseña.
Las cuentas de Humble Bundle pueden tener datos de pago almacenados, por ejemplo para las suscripciones mensuales. Kotaku y PC Gamer recomendaron borrar la tarjeta guardada hasta que se corrijan las fallas, aunque algunos usuarios dicen tener problemas para hacerlo.
Aftermath recordó que Ziff Davis, propietaria de Humble Bundle, despidió durante el verano a varios ingenieros de la tienda, y que los empleados temían que ocurriera algo así. Kotaku calificó el rediseño de programado con inteligencia artificial, pero ninguna de las fuentes leídas muestra que la empresa lo haya confirmado.
Humble Bundle no ha explicado si la eliminación de la verificación en dos pasos fue un error ni si restablecerá la función.
Existen dos herramientas gratuitas para verificar si un correo electrónico y sus contraseñas fueron expuestos en filtraciones de datos. La primera es Have I Been Pwned, un servicio que reúne información de más de 1.049 sitios vulnerados y de más de 17.800 millones de direcciones expuestas: basta con ingresar el correo para saber si figura en alguna filtración, sin que el sitio almacene las contraseñas.
La segunda opción es Password Checkup de Google, disponible en passwords.google.com, que clasifica los problemas en contraseñas expuestas, débiles y repetidas, y recomienda cambiar de inmediato las primeras.
