📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.
Hay reglas que uno asume hasta que las ves romperse a la cara: una tienda que guarda tus tarjetas, tu historial de compras y cientos de llaves de Steam lanzó esta semana un sitio nuevo sin verificación en dos pasos. El caso es Humble Bundle, la plataforma de bundles que lleva años vendiendo juegos y libros: relanzó su sitio web sin avisar y en el camino dejó varios candados fuera. Y no es un rumor de foro: lo constataron los equipos de PC Gamer y Kotaku por separado, con cuentas propias.
La lista de lo que faltaba da escalofríos para cualquiera que administre servidores. Lo más grave: las cuentas que ya tenían 2FA activada podían entrar solo con correo y contraseña. En todo el proceso de login, el sitio jamás pidió el segundo factor. Mejor aún: las FAQ del sitio siguen recomendando activar 2FA… que ya no existe. Un aviso apuntando a una opción que fue borrada es el retrato perfecto de un equipo que lanzó a producción sin revisar nada.
La cadena que nadie probó
Lo del 2FA es solo el titular. Lo que de verdad me preocupó fue el flujo de cambio de credenciales, porque ahí una sola sesión comprometida se convierte en robo de cuenta completo. Según las pruebas de Kotaku, era posible cambiar la contraseña sin conocer la actual, y el cambio de correo enviaba la verificación a la casilla nueva, jamás a la vieja. Piénsalo como atacante: te robo la sesión del navegador, cambio la contraseña, cambio el correo a uno mío, y el dueño original se entera cuando sus juegos ya tienen otro dueño. Esas verificaciones existen precisamente para matar la cadena en el primer eslabón. Alguien las dejó fuera del rediseño y nadie corrió el caso básico: «persona malintencionada con la sesión de otro».
De regalo, no se podían eliminar los métodos de pago guardados, los filtros de llaves reclamadas y sin reclamar desaparecieron de la librería, el buscador quedó roto y el sitio ni siquiera te dejaba mantener la sesión abierta. Para la gente que usa Humble como archivo de cientos de llaves eso es una pega terrible, pero es daño colateral. Lo central es de seguridad.
¿Vibecoding? La evidencia apunta a otro lado
En redes la acusación inmediata fue a los gritos de «sitio vibecoded». Yo le tengo más miedo al relato simple que a la IA. El dato concreto que existe es que la matriz, Ziff Davis, echó a varios ingenieros de Humble durante el verano norte. Eso no prueba nada, pero explica un lanzamiento apurado mejor que cualquier teoría sobre rastros de IA, que por lo demás eran literalmente «los mensajes de error usan guion largo». Eso delata el texto, no el proceso de desarrollo.
Mi lectura, después de años administrando infraestructura propia: el culpable no es la herramienta con que se escribió el código, sino lanzar sin lista de verificación. Cuando yo toco contenido del blog lo hago con respaldo previo y verifico el sitio en vivo después, porque un cron no puede llamar a nadie cuando se equivoca. Aquí aplica igual: en cualquier rediseño, los controles de seguridad de la versión anterior son la línea base. Si el sitio nuevo no pide el segundo factor a una cuenta que lo tenía activado, el rediseño no está listo para producción, no importa quién escribiera el código.
Si tienes cuenta, hazte el tiempo
Humble no ha dado explicaciones públicas; algunos usuarios dicen que la verificación volvió, con código por correo en vez de app de autenticación. Mientras se cuadra, lo sensato: si compartes la contraseña de Humble con otros sitios, cámbiala, intenta eliminar tus tarjetas guardadas y protege tu casilla de correo, porque es tu único aviso temprano si algo cambia sin tu permiso. Además, cierra sesión en equipos ajenos: con los flujos que quedaron, hasta que las cosas se arreglen, una sesión ajena puede ser la última vez que posees esa cuenta.
Fuente de inspiración: Humble Bundle’s sudden redesign removes 2FA, sparking security fears (Neowin)
