Clash of Kings Fuite de données

Lors de la fuite de données du forum Clash of Kings, les adresses e-mail, les noms d’utilisateur, les adresses IP et les empreintes de mots de passe ont été exposés ensemble. L’adresse e-mail et le nom d’utilisateur permettent aux attaquants de retrouver des comptes et d’envoyer des messages ciblés. L’adresse IP ne révèle pas une adresse de domicile exacte, mais elle peut donner des indices sur la région de connexion de l’utilisateur, son fournisseur d’accès ou son historique de sessions. Dans le contexte d’un forum de jeu, ces informations peuvent servir à concevoir des messages personnalisés destinés aux joueurs, sous prétexte d’événements, de cadeaux, de vérifications de compte ou d’invitations à rejoindre un clan.

Le stockage des empreintes de mots de passe avec MD5 constitue le risque technique le plus important de cet incident. MD5 est une méthode de calcul rapide, aujourd’hui considérée comme faible. Les mots de passe courts, courants ou réutilisés, notamment, peuvent être devinés rapidement. Si un utilisateur a employé le même mot de passe pour sa messagerie, ses comptes de jeu, ses réseaux sociaux, ses boutiques de jeux ou d’autres forums, les conséquences de la fuite peuvent dépasser le seul compte du forum. Pour les utilisateurs dont les données comprennent des coordonnées sur les réseaux sociaux, un risque supplémentaire consiste à pouvoir rapprocher leur identité sur le forum de jeu de leur profil sur les réseaux sociaux.

Le nombre de comptes vérifiés dans ce registre est de 1 604 957, et la date de l’incident est indiquée comme étant le 14 juillet 2016. Le périmètre couvre les adresses e-mail, les adresses IP, les noms d’utilisateur et les empreintes de mots de passe des utilisateurs du forum Clash of Kings. Certaines publications ont mentionné des champs liés aux réseaux sociaux, comme des données de profil Facebook ou des jetons d’accès. Les profils de réseaux sociaux et les jetons d’accès sont donc considérés comme un risque complémentaire de portée limitée parmi les catégories de données. Il ne faut pas supposer que ces champs sont présents pour chaque utilisateur.

Dans ce registre, les informations de carte de paiement, de compte bancaire, de nom réel, d’adresse postale, de numéro de téléphone, d’historique des achats dans le jeu ou de pièce d’identité officielle ne constituent pas des catégories de données vérifiées. Les conséquences d’une fuite de données du forum sur les comptes de jeu dépendent des pratiques des utilisateurs : le risque augmente si le même mot de passe ou la même adresse e-mail a été utilisé, tandis que l’utilisation d’un mot de passe différent réduit la probabilité d’une prise de contrôle directe du compte. Dans la présentation de l’incident, les données du forum ne doivent pas être confondues avec les données de paiement dans le jeu ou celles du compte de jeu principal. Le risque réel pour l’utilisateur doit être expliqué sous l’angle de la réutilisation des mots de passe, de l’identité au sein de la communauté de joueurs et des liens avec les réseaux sociaux.

Les personnes les plus exposées sont les joueurs qui utilisent aussi sur d’autres comptes le mot de passe employé sur le forum Clash of Kings. Les comptes de jeu, de messagerie, de réseaux sociaux et de boutiques de jeux doivent être vérifiés en priorité. Les personnes qui réutilisent leur nom de joueur dans différents jeux ou forums s’exposent également au risque de rapprochement de leurs profils. Un attaquant peut rechercher le même nom d’utilisateur, retrouver des comptes sur d’autres plateformes et préparer des messages d’hameçonnage plus personnalisés.

Pour les utilisateurs dont l’adresse IP est visible, le risque relève davantage de l’atteinte à la vie privée et du ciblage que d’une usurpation directe d’identité à partir de données sensibles. La région de connexion et les habitudes de jeu en ligne peuvent servir à créer de faux messages d’assistance ou des annonces de campagnes régionales. Les utilisateurs dont les données comportent des champs liés à Facebook peuvent aussi être exposés au rapprochement de leur identité sur le forum de jeu avec leur profil sur les réseaux sociaux. Cela peut notamment porter atteinte à la vie privée des utilisateurs qui souhaitent garder leur pseudonyme distinct de leur vie privée.

Le mot de passe utilisé sur le forum Clash of Kings ne doit plus être considéré comme sûr. Les utilisateurs doivent d’abord définir de nouveaux mots de passe uniques pour leurs comptes de forum et de jeu, puis pour tous les comptes sur lesquels ils ont utilisé le même mot de passe ou un mot de passe similaire. Le compte de messagerie est prioritaire, car les liens de réinitialisation des mots de passe des comptes de jeu et de forum sont généralement envoyés par e-mail. Un gestionnaire de mots de passe facilite la création de mots de passe longs et différents pour chaque service.

Si la connexion se fait au moyen d’un compte de réseau social, les applications connectées et les autorisations de session doivent être vérifiées. Les connexions inconnues ou qui ne sont plus utilisées doivent être supprimées. Les utilisateurs doivent se méfier des liens contenus dans des messages portant sur Clash of Kings, des récompenses de jeu, une vérification de compte, des ressources gratuites, des coupons liés à des événements ou des invitations à rejoindre un clan. Aucun service d’assistance de jeu ne devrait demander le mot de passe actuel de l’utilisateur ou son code de vérification dans un message. Les messages suspects doivent faire l’objet d’une vérification supplémentaire dans l’application officielle ou sur un nom de domaine connu.

Bien que les forums de jeu semblent souvent distincts du compte de jeu principal, ils font partie de la chaîne de sécurité lorsque la même adresse e-mail et le même mot de passe sont utilisés. À long terme, les joueurs doivent utiliser des mots de passe différents pour chaque compte de jeu, de forum et de réseau social, et activer l’authentification multifacteur lorsque cela est possible. La réutilisation d’un pseudonyme sur différentes plateformes augmente le risque de rapprochement des profils. Les utilisateurs qui souhaitent séparer leur vie privée de leur identité de joueur doivent limiter cette réutilisation.

Pour les entreprises de jeux vidéo et les responsables de communautés, il est essentiel de maintenir les logiciels de forum à jour, de stocker les empreintes de mots de passe au moyen de méthodes robustes et de sécuriser rigoureusement les connexions via les réseaux sociaux. Les anciennes infrastructures de forum peuvent devenir un maillon faible pour les grandes communautés de joueurs. Pour les utilisateurs, la stratégie la plus pratique consiste à ne pas considérer le compte de forum comme un compte de faible valeur, mais comme un élément d’une chaîne d’identité qui protège leurs biens dans le jeu et leurs profils sur les réseaux sociaux.

Une correspondance trouvée dans ce registre indique que l’adresse e-mail concernée figure parmi celles des comptes associés à la fuite de données du forum Clash of Kings. Une correspondance ne signifie pas que des informations de paiement ou des documents d’identité sont inclus dans le périmètre vérifié de ce registre. Le risque vérifié concerne l’adresse e-mail, l’adresse IP, le nom d’utilisateur, l’empreinte du mot de passe et, pour certains utilisateurs, des champs liés aux réseaux sociaux. L’utilisateur doit d’abord déterminer sur quels autres comptes le même mot de passe a été utilisé.

Après avoir changé les mots de passe, il faut vérifier l’historique des connexions des comptes de messagerie, de jeu et de réseaux sociaux. Les sessions inconnues doivent être fermées, les applications connectées doivent être examinées et les alertes de sécurité doivent rester activées. Les messages promettant des cadeaux dans le jeu, des ressources gratuites ou une vérification de compte doivent être vérifiés par les canaux officiels, même s’ils paraissent légitimes. Bien que cette fuite de données du forum soit ancienne, ses effets peuvent se prolonger pendant de nombreuses années en raison de la réutilisation des mots de passe et du rapprochement des noms d’utilisateur.