Fuite de données chez BlackSpigotMC

Les types de données vérifiés dans la fuite BlackSpigotMC sont les informations sur les appareils, les adresses e-mail, les genres, les localisations géographiques, les adresses IP, les mots de passe et les noms d’utilisateur. Les informations sur les appareils peuvent fournir des indices sur le navigateur, le système d’exploitation ou l’environnement de connexion de l’utilisateur. Les champs d’adresse IP et de localisation géographique peuvent permettre d’estimer approximativement la région où se trouve l’utilisateur. Le nom d’utilisateur, quant à lui, est souvent réutilisé dans les communautés de joueurs, ce qui peut permettre de rattacher différents comptes à une même personne.

Les empreintes de mots de passe bcrypt offrent une protection plus forte que les mots de passe en clair; le risque subsiste toutefois si le mot de passe est faible ou réutilisé sur d’autres sites. Des attaquants peuvent essayer la même combinaison d’adresse e-mail, de nom d’utilisateur et de mot de passe sur des serveurs Minecraft, des forums de jeu, des réseaux sociaux, des comptes de messagerie ou des comptes de paiement. Le contexte du forum peut également rendre les messages ciblés plus convaincants : des messages frauduleux présentés comme des mises à jour de plugins, des vérifications de serveur ou des notifications de sécurité des comptes peuvent être envoyés à l’utilisateur.

La fiche BlackSpigotMC sur LeakData recense 140 029 comptes, et la date de l’incident y est enregistrée comme étant le 14 juillet 2019. Il a été indiqué que le jeu de données est associé à l’infrastructure du forum reposant sur XenForo et que les données du site ont circulé au sein d’une archive plus vaste. Cette fiche ne signifie pas que le système officiel de comptes du jeu Minecraft ou l’ensemble des utilisateurs de Minecraft ont été touchés; le périmètre se limite aux utilisateurs du forum BlackSpigotMC.

Dans cette fiche, l’adresse postale, le numéro de téléphone, les informations de paiement, les messages privés, le nom réel et les documents d’identité officiels ne figurent pas parmi les catégories de données vérifiées. Les champs vérifiés sont les informations sur les appareils, l’adresse e-mail, le genre, la localisation géographique, l’adresse IP, le mot de passe et le nom d’utilisateur. Cette limite est importante : le contexte du forum peut facilement conduire à des affirmations trop générales, alors que la fiche doit se limiter aux champs vérifiables. Pour les utilisateurs, les principaux risques concernent la sécurité des comptes, le recoupement de profils et l’hameçonnage ciblé.

Le premier groupe à risque est constitué des personnes qui ont créé un compte sur le forum BlackSpigotMC et utilisé le même nom d’utilisateur dans d’autres communautés liées à Minecraft, aux jeux vidéo ou à la technologie. La réutilisation fréquente de pseudonymes dans les communautés de joueurs peut faciliter la recherche d’autres profils à partir du nom d’utilisateur divulgué. Les informations relatives à l’adresse e-mail et à l’adresse IP peuvent également renforcer ces recoupements. Si le même mot de passe est utilisé sur d’autres comptes, le risque se traduit directement par des tentatives de prise de contrôle de comptes.

Le risque peut être plus élevé pour les administrateurs de serveurs, les développeurs de plugins et les membres actifs de communautés de jeu payantes. Des attaquants peuvent exploiter d’anciennes inscriptions sur le forum pour envoyer des messages frauduleux concernant des plugins, des licences, la gestion de serveurs ou des mises à jour de sécurité. Les informations sur les appareils et la localisation géographique peuvent rendre ce ciblage plus convaincant. Les utilisateurs pour lesquels une correspondance a été trouvée devraient donc surveiller non seulement leur compte sur le forum, mais aussi les autres comptes de jeu associés à la même adresse e-mail ou au même nom d’utilisateur.

Les utilisateurs qui constatent une correspondance dans la base de données BlackSpigotMC devraient d’abord vérifier le mot de passe qu’ils utilisent sur le forum et déterminer s’il est également utilisé sur d’autres comptes. Si le même mot de passe, ou un mot de passe similaire, a été utilisé pour la messagerie, des comptes Minecraft, des panneaux d’administration de serveurs de jeu, des réseaux sociaux, des comptes de paiement ou des comptes professionnels, il doit être changé immédiatement. Chaque compte doit disposer d’un nouveau mot de passe unique, et l’authentification à deux facteurs doit être activée lorsque cela est possible.

Les utilisateurs devraient se méfier des faux liens de téléchargement de plugins, des formulaires de vérification de serveur, des messages de mise à jour de sécurité et des communications qui reprennent d’anciens noms d’utilisateur du forum. La présence, dans un message, du bon nom d’utilisateur ou d’informations régionales liées à l’adresse IP ne prouve pas que ce message est digne de confiance. Il convient d’accéder aux services par leurs adresses connues plutôt que par des liens, de fermer les sessions inconnues et de vérifier les options de récupération faisant appel à l’adresse e-mail associée aux comptes de jeu.

L’incident BlackSpigotMC montre que les habitudes liées aux noms d’utilisateur et aux mots de passe sur les forums de jeu peuvent avoir des conséquences durables sur la sécurité. Les utilisateurs devraient utiliser un mot de passe unique pour chaque compte de communauté de joueurs ou de forum et, si possible, privilégier des noms d’utilisateur différents selon les contextes. Un gestionnaire de mots de passe facilite la création de mots de passe robustes et uniques. Les anciens comptes de forum ne doivent pas être oubliés : s’ils ne sont plus utilisés, ils devraient être fermés ou leur mot de passe remplacé par un mot de passe unique.

Du côté des administrateurs de forums, les champs tels que les informations sur les appareils, l’adresse IP et le profil utilisateur ne devraient pas être conservés plus longtemps que nécessaire. Le logiciel du forum devrait être tenu à jour et les sauvegardes protégées par des restrictions d’accès strictes. Du côté des utilisateurs, éviter les fichiers de plugins provenant de sources non fiables, protéger les comptes de jeu par l’authentification à deux facteurs et veiller à ne pas relier trop de profils par un même nom d’utilisateur renforcent la protection à long terme.

Lorsqu’une recherche est effectuée sur LeakData pour la fuite de données BlackSpigotMC, le résultat indique si l’adresse e-mail saisie figure dans ce jeu de données vérifié du forum. Une correspondance indique que l’adresse e-mail a pu figurer dans un enregistrement associé à des informations sur l’appareil, un nom d’utilisateur, une adresse IP, une localisation géographique, un genre et une empreinte de mot de passe bcrypt. Ce résultat ne signifie pas que le compte officiel Minecraft a directement fait l’objet d’une fuite.

Les utilisateurs pour lesquels une correspondance a été trouvée devraient cesser de réutiliser le même mot de passe, renforcer la sécurité de leurs comptes de jeu et de messagerie, et vérifier par un autre canal l’authenticité des messages frauduleux concernant des plugins ou des vérifications de serveur. L’absence de correspondance ne garantit pas que l’utilisateur ne figure pas dans d’autres jeux de données liés à Minecraft, à des jeux ou à des forums; elle indique uniquement qu’aucune correspondance n’a été trouvée dans cette fiche BlackSpigotMC. Cette fiche se limite aux champs de données vérifiés et couvre 140 029 comptes.