Bot of Legends Fuite de données

Pour cette fiche, la présence d'adresses e-mail, d'adresses IP, de noms d'utilisateur, d'empreintes de mots de passe et de données d'activité sur le site web a été vérifiée. L'association d'une adresse e-mail et d'un nom d'utilisateur peut permettre de relier l'identifiant utilisé sur le forum à d'autres comptes de jeu, de réseaux sociaux ou de communautés. Les adresses IP donnent des indications techniques limitées sur la région de connexion et les habitudes observées lors de sessions passées. L'activité sur le site web peut révéler la présence ou les centres d'intérêt d'un utilisateur au sein de la communauté du bot.

Le stockage des mots de passe sous forme d'empreintes MD5 salées ne signifie pas que le mot de passe est directement exposé en clair; il présente toutefois un risque pour les utilisateurs qui choisissent des mots de passe faibles ou réutilisent le même mot de passe sur d'autres comptes. Dans les communautés de joueurs, il est courant d'utiliser la même adresse e-mail et le même nom d'utilisateur sur de nombreuses plateformes. Des attaquants peuvent donc exploiter d'anciennes données du forum pour tenter d'accéder à des comptes de messagerie, de jeu ou de réseaux sociaux.

Le périmètre vérifié de la fiche Bot of Legends comprend 238 373 comptes et cinq catégories de données : les adresses e-mail, les adresses IP, les mots de passe, les noms d'utilisateur et l'activité sur le site web. La date de naissance, le nom réel, le numéro de téléphone, l'adresse postale, les informations de paiement, le contenu des comptes de jeu et les mots de passe des comptes de jeu officiels ne font pas partie des catégories de données vérifiées pour cette fiche. Cette distinction est importante pour éviter d'associer la fuite à la mauvaise marque ou au mauvais type de compte.

L'incident concerne les enregistrements du forum hébergé sur l'infrastructure IP.Board. L'explication doit donc se limiter aux données des membres du forum Bot of Legends. Il est judicieux que les utilisateurs prennent des précautions pour sécuriser leurs comptes de jeu; toutefois, cette fiche ne prouve pas directement que les données des comptes de jeu officiels ont été exposées. Le chiffre indiqué correspond au nombre de comptes uniques touchés et ne correspond pas nécessairement au nombre de lignes brutes du forum.

Les utilisateurs les plus exposés au risque sont ceux qui réutilisent sur d'autres jeux ou comptes de réseaux sociaux l'adresse e-mail, le nom d'utilisateur et le mot de passe employés sur le forum Bot of Legends. L'appartenance à des communautés tierces de bots peut également être perçue comme sensible par certains utilisateurs, pour des raisons de réputation ou de règles applicables aux comptes. Les champs relatifs à l'activité sur le site web et au nom d'utilisateur peuvent donc présenter non seulement un risque technique de prise de contrôle de compte, mais aussi un risque de rapprochement de profils et de harcèlement ciblé.

Les mots de passe utilisés sur d'anciens forums de jeux peuvent être oubliés pendant des années; pourtant, le même schéma de mot de passe peut subsister sur d'autres comptes. Le risque augmente lorsque les comptes de messagerie, de boutiques de jeux, de forums, de plateformes de discussion et de réseaux sociaux sont protégés par des mots de passe identiques ou similaires. Les adresses IP et les noms d'utilisateur peuvent également aider les attaquants à déterminer quels comptes cibler en priorité.

Les utilisateurs pour lesquels une correspondance est trouvée doivent d'abord identifier le mot de passe qu'ils utilisaient sur le forum Bot of Legends et les autres comptes sur lesquels le même schéma de mot de passe est repris. Si un mot de passe identique ou similaire est encore utilisé sur un autre compte, il doit être changé immédiatement. Les comptes de messagerie, de jeu, de boutiques de jeux, de réseaux sociaux et de plateformes de discussion doivent être traités en priorité. Chaque compte doit disposer d'un mot de passe unique et long, conservé dans un gestionnaire de mots de passe.

Les utilisateurs doivent se méfier des fausses alertes concernant la sécurité des comptes de jeu ou l'utilisation de bots. Plutôt que de se connecter par des liens reçus, ils doivent se rendre directement sur le service concerné, éviter d'ouvrir des fichiers inattendus et mettre à jour les informations de récupération de leurs comptes. L'authentification à deux facteurs doit être activée sur les comptes de jeu et de messagerie essentiels, et les anciennes variantes de mots de passe utilisées sur les forums doivent désormais être abandonnées.

L'incident Bot of Legends montre que les forums de jeux et les communautés d'outils tiers présentent eux aussi des risques importants pour la sécurité des comptes. Les utilisateurs devraient désormais faire régulièrement le point sur les forums de jeux, les communautés de bots et les anciens sites d'extensions qu'ils n'utilisent plus. Les comptes qui peuvent être fermés doivent l'être. Pour ceux qui ne peuvent pas l'être, il convient d'utiliser un mot de passe unique et de retirer les détails superflus des noms d'utilisateur et des informations de profil publics.

La sécurité dans les communautés de joueurs ne se limite pas au seul compte de jeu principal. Lorsque la même adresse e-mail, le même nom d'utilisateur et le même schéma de mot de passe sont réutilisés sur différents forums, une fuite au sein d'une petite communauté peut entraîner un risque plus large de prise de contrôle de comptes. L'utilisation conjointe d'un gestionnaire de mots de passe, de l'authentification multifacteur, de vérifications de l'exposition éventuelle des mots de passe dans des fuites et du nettoyage des anciens comptes permet aux utilisateurs de se protéger à long terme.

Une correspondance avec l'adresse e-mail dans cette fiche indique que l'utilisateur figure dans le jeu de données du forum Bot of Legends. Il doit d'abord identifier le mot de passe qu'il utilisait sur ce forum et examiner les autres comptes de jeu ou de forum ouverts avec la même adresse e-mail et le même nom d'utilisateur. Même s'il ne se souvient pas du mot de passe, les anciens schémas de mots de passe employés en 2014 ou auparavant doivent être considérés comme risqués.

La correspondance n'indique pas que le compte de jeu officiel a été directement compromis; toutefois, l'exposition conjointe d'une empreinte de mot de passe MD5 salée, de l'adresse e-mail, de l'adresse IP, du nom d'utilisateur et de l'activité sur le site web constitue un avertissement de sécurité suffisant. Utiliser un mot de passe unique, activer l'authentification à deux facteurs, vérifier directement par un canal de confiance les messages reçus au sujet de la sécurité des jeux et fermer les anciens comptes de forum sont autant de mesures qui réduisent les risques de prise de contrôle de compte et de rapprochement de profils pouvant découler de la fuite Bot of Legends.