A Humble Bundle voltou a solicitar códigos de verificação enviados por e-mail durante o login, após uma reformulação de seu site que eliminou opções de autenticação em duas etapas. A recuperação parcial foi documentada pelo portal holandês Tweakers na sexta-feira (13), mas o uso de aplicativos autenticadores continuava indisponível, deixando as contas sem uma das proteções oferecidas anteriormente.
A mudança provocou reclamações entre usuários da loja digital, conhecida pela venda de pacotes de jogos, softwares e outros conteúdos. Após a atualização da interface, a opção para configurar ou modificar os métodos de autenticação desapareceu das configurações de segurança.
O problema também foi identificado pelo The Verge. Em um teste publicado em 12 de novembro, o jornalista Jay Peters conseguiu acessar sua conta utilizando um código recebido por e-mail, mas não precisou informar o código temporário de autenticação que havia configurado anteriormente. Ele também conseguiu alterar a senha sem fornecer a senha antiga.
Verificação por e-mail não substitui aplicativo autenticador
Antes da reformulação, a Humble Bundle permitia utilizar códigos temporários de seis dígitos gerados por aplicativos, como o Google Authenticator. Esse mecanismo, conhecido como TOTP, cria senhas de uso único que expiram após um curto intervalo.
A verificação por e-mail acrescenta uma etapa ao processo de login, mas depende da segurança da própria caixa de entrada. Já o TOTP utiliza um segredo armazenado no aplicativo autenticador, oferecendo uma proteção independente do acesso ao e-mail.
Segundo o Tweakers, a solicitação do código por e-mail passou a ser o procedimento padrão, sem opção para ativar ou desativar a verificação. O acesso por aplicativos autenticadores ou chaves de segurança não estava disponível nas verificações divulgadas pelo veículo.
A reformulação também gerou reclamações relacionadas à navegação pela biblioteca de jogos e ao gerenciamento de chaves de ativação. Entretanto, não havia evidências nas reportagens consultadas de que a mudança de autenticação tivesse provocado invasões de contas ou vazamentos de dados.
Até a publicação das reportagens, não havia confirmação de quando os métodos anteriores de autenticação seriam restabelecidos. A IGN Entertainment, proprietária da Humble Bundle, e sua controladora, Ziff Davis, não haviam respondido ao pedido de comentário do The Verge.
