Humble Bundle volvió a solicitar códigos de verificación enviados por correo electrónico durante el inicio de sesión, tras una reformulación de su sitio web que eliminó opciones de autenticación en dos pasos. La recuperación parcial fue documentada por el portal holandés Tweakers el viernes 13, pero el uso de aplicaciones de autenticación seguía sin estar disponible, lo que dejaba las cuentas sin una de las protecciones ofrecidas anteriormente.
El cambio provocó quejas entre los usuarios de la tienda digital, conocida por la venta de paquetes de juegos, software y otros contenidos. Tras la actualización de la interfaz, la opción para configurar o modificar los métodos de autenticación desapareció de la configuración de seguridad.
El problema también fue identificado por The Verge. En una prueba publicada el 12 de noviembre, el periodista Jay Peters logró acceder a su cuenta utilizando un código recibido por correo electrónico, pero no tuvo que introducir el código temporal de autenticación que había configurado anteriormente. También logró cambiar la contraseña sin proporcionar la contraseña anterior.
La verificación por correo electrónico no sustituye a la aplicación de autenticación
Antes de la reformulación, Humble Bundle permitía utilizar códigos temporales de seis dígitos generados por aplicaciones, como Google Authenticator. Ese mecanismo, conocido como TOTP, crea contraseñas de un solo uso que caducan tras un breve intervalo.
La verificación por correo electrónico añade una etapa al proceso de inicio de sesión, pero depende de la seguridad de la propia bandeja de entrada. El TOTP, en cambio, utiliza un secreto almacenado en la aplicación de autenticación, lo que ofrece una protección independiente del acceso al correo electrónico.
Según Tweakers, la solicitud del código por correo electrónico pasó a ser el procedimiento estándar, sin opción para activar o desactivar la verificación. El acceso mediante aplicaciones de autenticación o claves de seguridad no estaba disponible en las verificaciones divulgadas por el medio.
La reformulación también generó quejas relacionadas con la navegación por la biblioteca de juegos y la gestión de claves de activación. Sin embargo, no había evidencia en los reportajes consultados de que el cambio de autenticación hubiera provocado intrusiones en cuentas o filtraciones de datos.
Hasta la publicación de los reportajes, no había confirmación de cuándo se restablecerían los métodos anteriores de autenticación. IGN Entertainment, propietaria de Humble Bundle, y su empresa matriz, Ziff Davis, no habían respondido a la solicitud de comentarios de The Verge.
