خرق بيانات MagicDuel

أنواع البيانات المرصودة في هذا السجل هي عناوين البريد الإلكتروني وعناوين IP وألقاب اللاعبين وكلمات المرور. وخلص التقييم إلى أن كلمات المرور مخزنة بصيغة bcrypt؛ ومع أنها طريقة تخزين قوية، تظل كلمات المرور الضعيفة التي يُعاد استخدامها مصدر خطر. قُيّمت هذه الحقول كلٌّ على حدة؛ ولم تُضف إلى قائمة فئات البيانات أي حقول غير متحقق منها تتعلق ببطاقات الدفع أو الحسابات المصرفية أو وثائق الهوية الرسمية أو الرسائل الخاصة أو السجلات الصحية أو معلومات إضافية في الملف الشخصي.

قد يتيح الربط بين لقب اللاعب وبريده الإلكتروني ربط هويته في الألعاب بعنوان التواصل الفعلي الخاص به. وبينما ينطوي عنوان البريد الإلكتروني وحده على خطر الرسائل غير المرغوب فيها والتصيد الاحتيالي، فإن جمعه مع الاسم أو الهاتف أو العنوان أو IP أو تاريخ الميلاد أو المعلومات المهنية يسهّل على المهاجم صياغة رسائل أكثر تخصيصًا. لذلك، لم يستند تقييم المخاطر إلى عدد السجلات وحده، بل راعى أيضًا إمكانية استخدام الحقول معًا.

تم التحقق من أن نطاق السجل المؤرخ في أغسطس 2023 يشمل 138,443 حسابًا. وأُبقيت حقول البيانات المتحقق منها، بينما استُبعدت الحقول التي لم يُحسم أمرها. وبذلك يُطّلع المستخدم على السجل الحالي دون إثارة قلق مفرط، وفي الوقت نفسه دون التقليل من الخطر الفعلي.

استُخدمت الألقاب بدلًا من أسماء المستخدمين، لأن الحقل المُبلّغ عنه يعبّر بدقة أكبر عن اسم اللاعب أو لقبه. وإذا وُجدت حوادث أخرى تحمل اسمًا مشابهًا للاسم الوارد في السجل، فلم تُدمج في حادثة واحدة كبيرة. وحُصرت معلومات النطاق واسم الشركة والقطاع في أضيق سياق صحيح ممكن؛ وهذا يمنع أيضًا إضافة خروقات مكررة أو ربط خروقات بالسجل على نحو غير صحيح.

الفئات المعرضة للخطر هي اللاعبون الذين لديهم حساب في MagicDuel والأشخاص الذين يستخدمون اللقب نفسه في ألعاب أخرى. وينبغي للمستخدمين الذين تطابق بياناتهم السجل ألا يقتصر اهتمامهم على حساب الخدمة المعنية، بل أن يشمل أيضًا الحسابات الأخرى التي تستخدم البريد الإلكتروني نفسه أو اسم المستخدم نفسه أو نمط كلمة المرور نفسه.

يمكن تنفيذ هجمات الهندسة الاجتماعية في مجتمعات الألعاب عبر مكافآت وهمية أو طلبات للتحقق من الحساب أو دعوات إلى فعاليات أو رسائل عبر منصات البيع والشراء. وبالنسبة إلى من يسجلون باستخدام عنوان بريد إلكتروني تابع لمؤسسة، قد يتجاوز الخطر الحساب الشخصي؛ إذ يمكن للمهاجمين استخدام الاسم أو الدور الوظيفي أو الهاتف أو العنوان أو المشتريات أو معرّف اللعبة أو معلومات الملف المهني لإرسال رسائل أكثر إقناعًا. لذلك، ينبغي للمستخدمين ألا ينظروا إلى المطابقة باعتبارها مشكلة تقتصر على موقع واحد.

ينبغي للمستخدمين المتأثرين تغيير كلمة مرور MagicDuel، وكذلك كلمات مرور أي حسابات لمتاجر الألعاب أو البريد الإلكتروني أو وسائل التواصل الاجتماعي أو المراسلة تُستخدم فيها كلمة المرور نفسها. وبالنسبة إلى السجلات التي تتضمن حقل كلمة المرور، ينبغي تحديث جميع الحسابات التي تستخدم كلمة المرور نفسها؛ أما السجلات التي لا تتضمن هذا الحقل، فينبغي التركيز فيها على مخاطر البريد الإلكتروني والهاتف والإشعارات الوهمية. وفي الحالتين، يجب حماية حساب البريد الإلكتروني بكلمة مرور قوية وفريدة.

بدلًا من النقر على الروابط الواردة في الرسالة، ينبغي كتابة عنوان الخدمة المعنية يدويًا أو استخدام الإدخال المحفوظ في مدير كلمات مرور موثوق. ولا ينبغي الوثوق برسائل مثل رموز التحقق الواردة عبر الهاتف، أو طلبات إعادة تعيين كلمة المرور، أو إشعارات الشحن أو عروض العمل أو الدعم أو الاشتراكات أو الأمان، دون التحقق منها عبر قناة مستقلة.

ينبغي للاعبين استخدام كلمة مرور فريدة لكل حساب لعبة أو منتدى، وتجنب الربط غير الضروري بين ألقابهم داخل الألعاب وحساباتهم الشخصية. كما ينبغي إجراء تنقيح دوري للحسابات القديمة وأرقام الهواتف وحقول العناوين غير المستخدمة وأسماء المستخدمين المتكررة وأنماط كلمات المرور المتطابقة. وعلى المستخدمين استخدام كلمة مرور فريدة لكل خدمة وتفعيل المصادقة الثنائية حيثما أمكن.

من منظور مقدمي الخدمات، يُعد الاحتفاظ بالحد الأدنى من البيانات، وحماية كلمات المرور حماية قوية، ومراقبة سجلات الوصول، وحذف حقول الملف الشخصي غير الضرورية، وإبلاغ المستخدمين بعد وقوع خرق، متطلبات أساسية. وقد تؤدي نقاط الضعف الأمنية في حسابات الألعاب أيضًا إلى خسارة الأصول الرقمية والإضرار بالسمعة داخل المجتمع. وفي مثل هذه الحالات، لا تقل أهمية عرض نطاق الخرق بدقة عن أهمية المعالجة التقنية؛ فقد تدفع المعلومات المبالغ فيها أو الناقصة المستخدم إلى اتخاذ إجراء غير مناسب.

على المستخدم أولًا فحص هذا السجل باستخدام عنوان بريده الإلكتروني. وإذا وُجدت مطابقة، فينبغي افتراض أن حقول اللقب وIP وكلمة المرور قد تكون معرضة للخطر؛ ويجب تحديث جميع حسابات الألعاب التي تستخدم كلمة المرور نفسها. وعدم ظهور مطابقة لا يستبعد تمامًا إعادة استخدام كلمات المرور سابقًا أو استخدام عناوين بريد إلكتروني مختلفة مرتبطة بالخدمة نفسها؛ لذلك ينبغي أيضًا مراجعة الحسابات المهمة كلٍّ على حدة.

ظل هذا السجل متحققًا منه؛ وجُعل عدد السجلات وأنواع البيانات متوافقين مع القيم المتحقق منها. وفي هذا التعديل، أُبقيت حقول البيانات بصفتها فئات معيارية باللغة الإنجليزية، وكُتب الوصف الظاهر للمستخدم باللغة التركية بصياغة أصلية، ولم تُضف حقول غير متحقق منها، ولم تُستخدم علامة الحساسية إلا حين كان سياق المخاطر يدعم ذلك.