La actualización del sitio web de Humble Bundle elimina la autenticación de dos factores y las verificaciones de seguridad

Se informa que el nuevo sitio web de Humble Bundle ha eliminado la autenticación de dos factores (2FA), dejando las cuentas de usuario protegidas únicamente por contraseñas. Este cambio ocurrió junto con la eliminación de protocolos de seguridad estándar, como el requerimiento de una contraseña anterior o la doble entrada para actualizar las credenciales de la cuenta.

Eliminación de verificaciones de múltiples pasos

El sitio actualizado de Humble Bundle permite a los usuarios cambiar sus contraseñas sin confirmar la contraseña anterior ni introducir la nueva dos veces. Además, el sistema permite cambios en la dirección de correo electrónico sin requerir que se envíe un código de verificación al correo actual registrado.

Si bien algunos usuarios informaron haber recibido una notificación de 'algo ha cambiado', estas alertas no siempre incluyen un enlace directo para contactar al soporte. En algunos casos, la notificación dirige a los usuarios a un proveedor de seguridad externo basado en IA en lugar del equipo de soporte interno de Humble Bundle.

“Humblebundle acaba de lanzar su nuevo sitio web hoy, y básicamente sacaron toda su configuración de seguridad detrás del cobertizo y la llenaron de plomo.”

— Humble Bundle just completely killed most of their security through vibecoding

El papel del desarrollo asistido por IA

Las regresiones de seguridad se atribuyen al 'vibecoding', un estilo de desarrollo que aprovecha los Modelos de Lenguaje Grande (LLM) para generar código rápidamente. Este enfoque puede priorizar la velocidad de reconstruir un sitio desde cero sobre la evaluación matizada de los requisitos comerciales y los riesgos de seguridad.

Los críticos de este método argumentan que, si bien la IA puede producir código funcional rápidamente, carece de los criterios de 'sentido común' necesarios para identificar vulnerabilidades de seguridad. Esto puede resultar en un proyecto de tipo 'escopeta', donde el software está funcionalmente completo pero estructuralmente inseguro.

Impacto en el usuario y riesgos

La falta de 2FA y de pasos de verificación reduce significativamente la barrera para el secuestro de cuentas. Si una contraseña se ve comprometida, un atacante puede tomar el control de la cuenta de inmediato cambiando el correo electrónico y la contraseña asociados sin activar ningún obstáculo secundario.

Además, los informes sugieren que el nuevo sitio puede haber habilitado pagos de un solo clic. Esta funcionalidad, combinada con la falta de protecciones de cuenta, crea un entorno de alto riesgo para los usuarios con métodos de pago almacenados o cuentas de juegos vinculadas.