Tu cuenta de Minecraft es una cuenta de Microsoft. El mismo correo y la misma contraseña que abren el juego pueden abrir también tu bandeja de entrada, tus archivos guardados y todo lo demás vinculado a ese inicio de sesión. Las cuentas de Minecraft robadas se revenden al por mayor, así que los atacantes van a por jugadores de todas las edades con estafas montadas alrededor de servidores, rangos y comunidades de Discord. La mayoría de estos ataques son fáciles de detectar cuando sabes cómo son.
Qué puede y qué no puede pedirte un servidor
Un servidor de Minecraft nunca necesita tu correo ni tu contraseña de Microsoft. Cuando entras en un servidor premium, el juego demuestra tu identidad ante el servicio de sesiones de Mojang y el servidor solo recibe un sí o un no. Tu contraseña queda entre tú y Microsoft.
Eso te da una regla sencilla. Cualquiera que te pida tus datos de inicio de sesión de Microsoft, incluido alguien que dice ser del staff del servidor, un moderador, un empleado de Mojang o un amigo, está intentando quedarse con la cuenta. El staff de verdad no los necesita para darte un rango, quitarte un baneo, devolverte objetos ni comprobar que tienes el juego.
Lo mismo vale para los códigos de verificación. Si alguien te pide que le leas un código que Microsoft acaba de enviarte por correo o al móvil, normalmente está a mitad de restablecer tu contraseña o de iniciar sesión como tú. No compartas nunca estos códigos.
Enlaces falsos de rangos gratis y sorteos
La trampa más común promete algo valioso gratis: el rango más alto de un servidor popular, moneda del juego, una capa o un código de regalo. Te envían un enlace para reclamarlo y la página te pide "iniciar sesión con Microsoft" o "verificar tu cuenta de Minecraft".
Señales de que un enlace es una página de phishing:
- La página te pide el correo y la contraseña de Microsoft para reclamar una recompensa en un servidor de juego. Los servidores entregan los rangos dentro del juego o a través de su propia tienda, no mediante tu inicio de sesión de Microsoft.
- La dirección en tu navegador no es el dominio real de inicio de sesión de Microsoft, aunque la página parezca idéntica. Las copias son fáciles de hacer, y algunas incluso muestran una ventana de navegador falsa dentro de la página.
- Hay un plazo muy corto, como "solo quedan 10 minutos" o "los primeros 50 jugadores".
- La oferta te llegó de un desconocido, o de un amigo que de repente envía enlaces que normalmente no enviaría. Puede que su cuenta ya esté comprometida.
Si quieres comprobar una oferta de un servidor, abre tú mismo la web oficial del servidor o su canal de anuncios en lugar de usar el enlace que te enviaron.
Mods, clientes y launchers de fuentes no oficiales
Un mod o un cliente se ejecuta en tu ordenador con el mismo acceso que cualquier otro programa. Los maliciosos pueden leer el token de sesión de tu launcher, lo que permite a alguien usar tu cuenta sin saber tu contraseña, o robar las contraseñas guardadas en el navegador y tus inicios de sesión de Discord.
- Descarga mods solo de webs de alojamiento de mods conocidas o de la página oficial del autor. Evita las resubidas en webs de descargas y en descripciones de vídeos.
- Ten cuidado con las versiones "crackeadas" de clientes de pago, los mods de cosméticos "gratis" y cualquier cosa que prometa hacks para un servidor. Son una vía habitual para colar ladrones de cuentas.
- Si un servidor exige su propio launcher o cliente, asegúrate de que la descarga viene de la web oficial del servidor y de que otros jugadores también lo usan.
- No ejecutes archivos que te mande un desconocido por Discord, tanto si lo llama mod, paquete de texturas, "descarga de mapa" o un juego que quiere que pruebes.
Los paquetes de recursos y los paquetes de datos suelen ser seguros porque contienen texturas y datos del juego, no código ejecutable. El riesgo está en cualquier cosa que tengas que ejecutar como programa, como los archivos .exe o .jar, y en los archivos comprimidos que los contienen.
Estafas de Discord en torno a servidores de Minecraft
La mayoría de comunidades de Minecraft viven en Discord, así que muchas estafas empiezan ahí. Los patrones típicos son:
- Solicitudes de staff o "verificaciones" falsas. Un bot o un usuario te pide que te verifiques iniciando sesión en Microsoft o escaneando un código QR. Escanear con el móvil un código QR de inicio de sesión puede dejar al estafador conectado como tú.
- "Te he denunciado sin querer". Alguien asegura que tu cuenta fue denunciada por error y te manda a un "agente de soporte" que te pide tus datos de acceso.
- Prueba mi juego o mi mod. Un desconocido simpático, o la cuenta hackeada de un amigo, te pide que pruebes un archivo. Contiene malware.
- Intercambios con intermediarios. Al comprar objetos o cuentas, un intermediario falso se queda con el pago o los datos y desaparece.
Si entras en servidores grandes, limita los mensajes directos a tus amigos, y confirma por otro canal las peticiones raras de tus amigos antes de hacerles caso.
Activa la verificación en dos pasos
La verificación en dos pasos de tu cuenta de Microsoft es la protección más potente que puedes añadir. Con ella activada, una contraseña robada no basta para iniciar sesión, porque Microsoft también pide un código de una app de autenticación, un SMS o un correo a otra dirección.
- Inicia sesión en tu cuenta de Microsoft en la página oficial de cuentas de Microsoft.
- Abre la sección de seguridad y elige las opciones de seguridad avanzadas.
- Activa la verificación en dos pasos y sigue los pasos para añadir una app de autenticación o un número de teléfono.
- Guarda el código de recuperación que te muestra Microsoft en un lugar seguro y sin conexión.
Ya que estás, comprueba que el correo y el teléfono de recuperación están al día y son tuyos. Es lo que usa Microsoft para ayudarte a recuperar el acceso más adelante.
Usa una contraseña única en los servidores no premium
Los servidores no premium te piden registrar con /register una contraseña que guarda el propio servidor. No puedes saber lo bien protegida que está, y los servidores pequeños se hackean, se venden o cierran con frecuencia. Las listas de contraseñas filtradas de servidores de juegos se prueban luego contra cuentas de Microsoft y proveedores de correo.
- No uses nunca tu contraseña de Microsoft, ni la de tu correo, en ningún servidor.
- Usa una contraseña distinta para cada servidor, para que una filtración en uno no abra los demás.
- Un gestor de contraseñas lo pone fácil, pero incluso una lista escrita guardada en casa es mejor que repetir la misma contraseña en todas partes.
El filtro de servidores premium de la página principal muestra servidores donde no hace falta ninguna contraseña extra. Cada ficha muestra además una etiqueta de premium o no premium, para que sepas de antemano en qué tipo vas a entrar.
Revisa un servidor antes de entrar
La mayoría de servidores los llevan personas que simplemente quieren jugadores. Aun así, unos minutos de comprobación te ayudan a evitar los que no son así. Lee las reseñas de jugadores en la ficha del servidor y mira su número de jugadores en directo y sus votos. Desconfía de los servidores que te obligan a instalar un launcher propio sin un motivo claro, o cuyo staff te presiona para pasar a mensajes privados. Si tienes dudas sobre cómo funciona la propia lista, las preguntas frecuentes cubren lo básico.
Si te roban la cuenta
Actúa rápido. Cuanto antes empieces, más probable es que la recuperes antes de que el ladrón cambie todos los datos de recuperación.
- Intenta iniciar sesión en tu cuenta de Microsoft. Si la contraseña sigue funcionando, cámbiala de inmediato, cierra todas las demás sesiones desde la página de seguridad y activa la verificación en dos pasos.
- Si no puedes iniciar sesión, usa el formulario de recuperación de cuentas de Microsoft desde la página oficial de inicio de sesión. Rellénalo desde un dispositivo y una red que hayas usado antes, e incluye todos los detalles que puedas, como contraseñas antiguas, la fecha en que compraste Minecraft y asuntos de correos que enviaste desde la cuenta.
- Cambia la contraseña del correo vinculado a la cuenta y la de cualquier otra cuenta en la que usaras la misma contraseña.
- Analiza tu ordenador en busca de malware, sobre todo si hace poco ejecutaste un mod, un cliente o un archivo de una fuente no oficial. Si no lo haces, el ladrón puede volver a quitarte la cuenta.
- Avisa al staff de los servidores donde tengas rangos u objetos, y advierte a tus amigos de Discord por si el atacante les escribe desde tu perfil.
Si rechazan el formulario de recuperación, puedes volver a enviarlo con más detalles. Cuidado con quien se ofrezca a recuperar tu cuenta a cambio de dinero. Es otra estafa habitual.
Lista rápida
- Nadie legítimo necesita tu contraseña de Microsoft ni tus códigos de verificación.
- La verificación en dos pasos está activada y los datos de recuperación están al día.
- Cada contraseña de servidor es única y distinta de tus contraseñas de Microsoft y del correo.
- Los mods y clientes vienen solo de fuentes oficiales.
- Los enlaces que prometen rangos u objetos gratis se ignoran.