Fuite de données chez CraftRise

Les catégories de données vérifiées sont les adresses e-mail, les informations de localisation géographique, les mots de passe et les noms d’utilisateur. L’adresse e-mail peut servir à établir un lien avec les autres comptes de l’utilisateur. Le nom d’utilisateur peut permettre de relier les profils d’une personne sur différentes plateformes, surtout s’il est réutilisé dans des espaces liés au jeu comme Minecraft, Discord, les forums et les réseaux sociaux. Les informations de localisation géographique ne fournissent pas une adresse postale complète; elles peuvent toutefois rendre des messages ciblés plus convaincants grâce à des indications approximatives sur le pays, la région ou la ville.

La présence de mots de passe en clair rend cette fiche particulièrement risquée. Si le mot de passe est utilisé à l’identique ou sous une forme similaire sur d’autres services, des attaquants peuvent tenter des connexions automatisées. Les comptes de jeu peuvent devenir des cibles en raison de la valeur de leur inventaire, du rang obtenu dans le jeu, de la liste d’amis, de la réputation sur le serveur ou des comptes communautaires associés. Les noms d’utilisateur et les informations de localisation géographique peuvent également servir à préparer de faux messages de maîtres du jeu, des offres d’objets gratuits, des promesses de levée de bannissement ou des liens de vérification de compte.

Cette fiche porte sur 2 532 527 comptes touchés, et la date retenue pour l’incident reste le 5 mars 2022. Bien que les notifications publiques soient devenues visibles en mai 2023, les traces de données les plus récentes du dossier renvoient à mars 2022. Cette distinction est importante : la date de la fuite affichée à l’utilisateur correspond à la période où les données ont été obtenues, tandis que la diffusion à grande échelle des communications ou du jeu de données peut être intervenue plus tard.

Les champs de données vérifiés sont l’adresse e-mail, le nom d’utilisateur, la localisation géographique et le mot de passe en clair. Dans cette fiche, le numéro de téléphone, l’adresse postale, la carte de paiement, le compte bancaire, le numéro de pièce d’identité officielle, le contenu des messages privés et le nom réel ne font pas partie des données vérifiées. Cette fiche ne permet pas, à elle seule, de tirer de nouvelles conclusions techniques sur le client CraftRise concernant les fichiers du jeu ou la sécurité actuelle du service; elle doit être évaluée sur la base du jeu de données utilisateurs daté de mars 2022.

Les personnes les plus exposées sont celles qui réutilisent le mot de passe de leur compte CraftRise pour d’autres comptes de jeu, de messagerie, Discord, de réseaux sociaux, de forums ou d’achat en ligne. Si le même nom d’utilisateur a été utilisé sur différentes plateformes, des attaquants peuvent établir un lien entre les comptes. Dans le contexte de Minecraft et de la communauté des joueurs, les messages ciblés peuvent porter sur des récompenses en jeu, des privilèges sur le serveur, la levée d’un bannissement, des objets cosmétiques gratuits ou la vérification d’un compte.

Le risque mérite également une attention particulière pour les jeunes joueurs et les utilisateurs qui s’inscrivent avec une adresse e-mail familiale. Pour les comptes créés avec l’adresse e-mail d’un parent, la réutilisation du mot de passe peut aussi nuire au compte familial. Les utilisateurs dont les données de géolocalisation sont présentes peuvent être ciblés par des messages frauduleux rédigés dans la langue locale et adaptés à leur région. Même si le compte de jeu semble peu important, les conséquences peuvent être bien plus larges si le même mot de passe est utilisé pour d’autres comptes essentiels.

Si vous constatez une correspondance dans cette fiche, changez immédiatement le mot de passe de votre compte CraftRise et celui de tous les comptes pour lesquels vous utilisez un mot de passe identique ou similaire. Les nouveaux mots de passe doivent être uniques, longs et difficiles à deviner. Sécurisez en priorité votre compte de messagerie, activez l’authentification multifacteur et vérifiez les sessions récentes. Les variantes de l’ancien mot de passe auxquelles vous ajoutez des chiffres, des années ou des caractères spéciaux ne doivent pas non plus être considérées comme sûres.

Examinez attentivement les messages reçus dans le jeu ou par e-mail concernant la vérification d’un compte, l’obtention de récompenses, la levée d’un bannissement, les candidatures à des fonctions de modération ou d’administration, les mises à jour du serveur ou le téléchargement du client. Vérifiez le nom de domaine avant d’ouvrir un lien et, si vous devez effectuer une opération, rendez-vous directement à l’adresse officielle que vous connaissez. Le fait qu’une personne vous écrive en connaissant votre nom d’utilisateur et des informations sur votre activité passée dans le jeu ne la rend pas digne de confiance. Ne communiquez jamais à des tiers vos mots de passe, vos codes de vérification, l’accès à votre messagerie ou vos informations de récupération de compte.

L’incident CraftRise montre que les comptes de jeu peuvent eux aussi présenter un risque sérieux pour la sécurité des comptes. Utilisez un mot de passe unique pour chaque plateforme de jeu, forum, réseau social et compte de messagerie. Un gestionnaire de mots de passe facilite la création de mots de passe robustes et vous permet de savoir quel mot de passe est associé à chaque compte. Fermez les anciens comptes de jeu que vous n’utilisez plus ou protégez-les au minimum avec un mot de passe unique et une adresse e-mail sécurisée.

À long terme, il est également important d’éviter d’utiliser le même nom d’utilisateur sur toutes les plateformes. Un nom d’utilisateur identique dans les jeux, sur Discord, sur les forums et sur les réseaux sociaux facilite les rapprochements entre comptes et peut renforcer les attaques ciblées. Pour les jeunes utilisateurs, les parents doivent fixer des règles de sécurité de base : ne pas partager les comptes, ne pas se fier aux promesses d’objets gratuits, ne pas télécharger de fichiers de client inconnus et ne communiquer de codes de vérification à personne. D’anciennes fuites liées à des jeux peuvent servir à des tentatives de connexion avec des mots de passe divulgués, même des années plus tard.

La présence d’une correspondance dans cette fiche indique que l’adresse e-mail concernée figure parmi les comptes observés dans la fuite de données CraftRise. Une correspondance ne signifie pas que ces données datent de 2025 : la date de l’incident retenue dans cette fiche est mars 2022, et les communications ainsi que le jeu de données ont été largement diffusés plus tard. Le périmètre vérifié se limite à l’adresse e-mail, au nom d’utilisateur, à la localisation géographique et au mot de passe en clair.

Commencez par changer le mot de passe de tous les comptes pour lesquels vous avez utilisé le même mot de passe, activez une vérification supplémentaire sur votre compte de messagerie et passez en revue vos comptes liés aux communautés de joueurs. Si vous avez utilisé le même nom d’utilisateur ou le même mot de passe sur Discord, Minecraft, des forums et des réseaux sociaux, incluez également ces comptes dans votre évaluation des risques. La fiche CraftRise contenant un mot de passe en clair, elle exige de remplacer sans délai les mots de passe concernés et de vérifier la sécurité des comptes, même s’il s’agit d’une fiche ancienne.