Fuite de données chez BlankMediaGames

Les catégories de données vérifiées sont les informations sur le user-agent du navigateur, les adresses e-mail, les adresses IP, les mots de passe, les informations sur les achats, les noms d’utilisateur et les activités sur les sites web. L’adresse e-mail permet de contacter directement l’utilisateur; le nom d’utilisateur peut permettre de relier les profils d’une même personne sur différents jeux, forums et plateformes sociales. Les adresses IP et les informations sur le navigateur fournissent des indices techniques limités sur l’environnement de connexion de l’utilisateur et ses habitudes d’utilisation des appareils. L’activité web peut apporter des éléments de contexte sur la manière dont le compte est utilisé.

Les informations sur les achats peuvent indiquer si un joueur utilise des fonctionnalités premium ou effectue des transactions en jeu. La présence de cette catégorie de données ne signifie pas que celle de numéros de carte de paiement a été vérifiée; l’historique des achats peut toutefois, à lui seul, servir à élaborer des messages frauduleux ciblés. Le risque augmente encore lorsque ces informations sont croisées avec les empreintes de mots de passe. Si le même mot de passe est utilisé pour d’autres comptes, des attaquants peuvent essayer le mot de passe du compte de jeu sur d’autres services. Si le compte de messagerie n’est pas protégé, il existe notamment un risque d’accès en chaîne à plusieurs comptes.

Le périmètre vérifié de cette fiche comprend 7 633 234 comptes uniques et sept grandes catégories de données : les informations sur le user-agent du navigateur, les adresses e-mail, les adresses IP, les mots de passe, les informations sur les achats, les noms d’utilisateur et les activités sur les sites web. Les numéros de carte, les informations en clair sur des comptes financiers, les données d’identification officielles et le contenu des messages privés ne font pas partie des catégories de données vérifiées pour cette fiche. Cette distinction est nécessaire pour présenter à l’utilisateur le niveau de risque approprié.

L’incident concerne les données de BlankMediaGames associées à l’écosystème du jeu Town of Salem. Le seul nom de l’entreprise ne permet donc pas de supposer que d’autres jeux, d’autres comptes auprès d’éditeurs ou d’autres plateformes de paiement ont également subi une fuite. Cette description vise à préciser les champs de données vérifiés et à indiquer les comptes sur lesquels l’utilisateur doit intervenir. Mentionner une méthode d’attaque non vérifiée ou élargir indûment la liste des données nuit à la fiabilité des fiches.

Parmi les personnes les plus exposées figurent celles qui jouent à Town of Salem, possèdent un compte BlankMediaGames et utilisent le même mot de passe pour d’autres jeux, forums, réseaux sociaux ou comptes de messagerie. Dans les communautés de joueurs, il est courant de conserver longtemps le même pseudonyme; les noms d’utilisateur peuvent donc faciliter le rapprochement de différents profils. Les joueurs ayant un historique d’achats peuvent également être ciblés au moyen de fausses factures, de fausses fonctionnalités premium ou de messages de récupération de compte ou d’assistance.

Les comptes de jeu créés pendant l’enfance ou l’adolescence méritent aussi une attention particulière. Ils peuvent contenir des mots de passe construits selon des schémas simples, d’anciennes adresses e-mail ou des informations de récupération qui ne sont plus utilisées. Même si une fuite remonte à longtemps, le risque reste actuel lorsque les mêmes habitudes de création de mots de passe sont conservées sur d’autres comptes. Si le compte de messagerie est lui aussi protégé par un mot de passe construit selon le même schéma, les attaquants ont davantage de chances d’exploiter les mécanismes de réinitialisation des mots de passe.

Les utilisateurs qui constatent une fuite doivent d’abord vérifier si le mot de passe de leur compte BlankMediaGames ou Town of Salem a été réutilisé ailleurs. Si le même mot de passe, ou un mot de passe similaire, a été utilisé, ils doivent adopter un mot de passe long et unique pour chaque compte important, en particulier leur compte de messagerie. Un gestionnaire de mots de passe facilite la création de mots de passe différents pour chaque compte et l’abandon des anciens schémas de mots de passe.

Si le compte de jeu reste accessible, il faut changer son mot de passe, maintenir à jour l’adresse e-mail associée et vérifier les sessions. Dans la boîte de réception, une attention particulière doit être portée aux messages inattendus concernant une réinitialisation de mot de passe, une récupération de compte, un achat premium, une récompense en jeu ou liés à l’assistance. Plutôt que de se connecter à partir des liens reçus, il convient d’accéder directement au service concerné, de ne pas ouvrir les fichiers inattendus et d’activer l’authentification à deux facteurs sur les comptes importants.

L’incident BlankMediaGames montre que les comptes de jeu constituent eux aussi un maillon important de la chaîne de sécurité personnelle. Les utilisateurs doivent régulièrement passer en revue leurs anciens comptes de jeu, de forum et de communauté. Les comptes inutilisés doivent être fermés; ceux qui ne peuvent pas l’être doivent disposer de mots de passe uniques, et les informations superflues dans les profils doivent être réduites au minimum. Lorsqu’il est nécessaire d’utiliser le même nom d’utilisateur sur de nombreuses plateformes, il faut garder à l’esprit que cela augmente le risque de rapprochement des profils.

Pour les entreprises de jeux vidéo et les responsables de communautés, cet incident rappelle une réalité opérationnelle : l’architecture de stockage des mots de passe, les contrôles d’accès, la séparation des données liées aux paiements et les processus de communication en cas d’incident doivent être traités ensemble. Du côté des utilisateurs, la vérification de la présence de mots de passe dans des fuites, l’utilisation de gestionnaires de mots de passe robustes, l’authentification multifacteur et le nettoyage des anciens comptes doivent s’inscrire dans une démarche globale. Dans les grandes communautés de joueurs, une seule fuite peut fournir pendant des années des données utilisables pour des attaques visant à deviner les identifiants de connexion à des comptes.

Une correspondance avec une adresse e-mail dans cette fiche indique que l’utilisateur figure dans les enregistrements de comptes de l’écosystème BlankMediaGames ou Town of Salem. L’utilisateur doit d’abord déterminer quelle adresse e-mail et quel schéma de mot de passe il utilisait à cette période, puis changer, compte par compte, les mots de passe construits selon ce même schéma. La priorité doit être donnée au compte de messagerie, aux réseaux sociaux, aux boutiques de jeux, aux services payants et aux comptes de stockage dans le cloud.

Une correspondance ne signifie pas nécessairement que le mot de passe a été obtenu en clair. Toutefois, l’exposition de son empreinte avec l’adresse e-mail et le nom d’utilisateur constitue un avertissement de sécurité suffisant. L’utilisation de mots de passe uniques et de l’authentification à deux facteurs, l’examen attentif des alertes reçues par e-mail et la fermeture des anciens comptes de jeu réduisent sensiblement, lorsqu’ils sont combinés, les risques de prise de contrôle de comptes, d’hameçonnage et de fraude ciblée pouvant découler de cette fuite.