A mediados de julio, la cuenta de Microsoft de Joshua Khane fue pirateada. La compañía confirmó la vulneración, reconoció que era el propietario legítimo, y luego eliminó la cuenta de todos modos. Veinticinco años de compras de juegos de Xbox, archivos de OneDrive y las fotos de bebé de su hijo, perdidos, con Microsoft declarando el caso «inalcanzable» y la decisión irreversible.
La protesta pública de Khane, que circuló ampliamente en las redes sociales, se ha convertido en un punto de inflexión en un creciente debate sobre lo que los jugadores realmente poseen en la era digital. Su caso no es aislado. Una vulnerabilidad de autenticación de Xbox Live divulgada a principios de este año expuso aproximadamente 89 millones de cuentas agregadas en las plataformas Xbox y PlayStation, según un informe de SecurityWeek. Los atacantes pudieron eludir la autenticación de dos factores a través de vulnerabilidades en los servicios de juego multiplataforma.
Microsoft respondió a la brecha implementando parches de emergencia a las 3:15 a.m. EST, forzando restablecimientos de contraseñas e implementando la autenticación multifactor obligatoria en toda la plataforma. Pero el caso Khane revela una brecha entre la respuesta de seguridad a nivel de infraestructura de Microsoft y sus prácticas de recuperación de cuentas. Después de que su cuenta fuera comprometida, probablemente a través de la misma clase de ataques de robo de credenciales que afectan a todas las grandes plataformas de juego, los sistemas automatizados de Microsoft señalaron actividad sospechosa, suspendieron la cuenta y luego, a pesar de confirmar la propiedad de Khane, se negaron a restaurarla.
El momento es particularmente incómodo para Microsoft. Días antes de que el caso de Khane se hiciera público, un tribunal brasileño falló en contra de la compañía en una demanda similar, obligando a Microsoft a restaurar la colección de juegos digitales de un usuario de Xbox que se había perdido debido a un error del sistema. La compañía inicialmente le dijo a ese usuario lo mismo: no se podía hacer nada, cree una cuenta nueva, recompre sus juegos.
La brecha de Xbox Live y el exploit de hardware Bliss, el primer pirateo exitoso de la ROM de arranque de la Xbox One después de 12 años, presentado en la conferencia de seguridad RE//verse en marzo, juntos ilustran que las cuentas de Xbox enfrentan amenazas en múltiples frentes. El exploit Bliss requiere acceso físico y solo afecta a la Xbox One original de 2013, pero su existencia socava la afirmación de larga data de Microsoft de que la plataforma era efectivamente imposible de piratear. Más importante aún, la brecha de autenticación demostró que un atacante no necesita acceso físico para causar daños catastróficos.
Las cuentas de Xbox son cuentas de Microsoft, que también pueden controlar el acceso a Office 365, Azure y el correo electrónico corporativo. CISA ha advertido que las plataformas de juegos representan un objetivo creciente para el robo de credenciales porque muchos usuarios reutilizan contraseñas en cuentas de juegos y financieras. Los especialistas en seguridad recomiendan cada vez más separar por completo las cuentas de juegos personales de las cuentas profesionales de Microsoft.
Microsoft ha introducido nuevas herramientas de seguridad durante 2026, incluida una moderación de IA ampliada, verificación de edad en el Reino Unido con planes para una implementación más amplia y autenticación multifactor obligatoria. Pero el caso Khane y el fallo del tribunal brasileño sugieren que la brecha no está en la seguridad preventiva de Microsoft, sino en lo que sucede después de que las defensas fallan.
Traducido por Alessandra
Sources: User loses all Xbox games and 25 years of data after account hack (Level Up, July 16, 2026); Xbox Bliss exploit and Live breach (Expert Zoom, April 7, 2026); Compromised Microsoft/Xbox account (Microsoft Learn, July 22, 2026)