Dueling Network Fuite de données

Les données relatives aux mots de passe constituent l’élément le plus critique de la fiche Dueling Network. Même si les mots de passe sont stockés sous forme de hachages MD5, retrouver les mots de passe correspondants peut devenir réalisable lorsqu’ils sont faibles ou réutilisés. Un hachage de mot de passe associé à un nom d’utilisateur et à une adresse e-mail constitue un point de départ solide pour des tentatives de réutilisation automatisée d’identifiants. En particulier, si le même mot de passe a été utilisé pour un compte de jeu, de forum, de messagerie, de réseau social ou de paiement, une seule fuite provenant d’un ancien forum peut se transformer en un problème de sécurité touchant un ensemble bien plus large de comptes.

Les adresses IP ne constituent pas, à elles seules, une preuve formelle d’identité. Toutefois, lorsqu’elles sont examinées avec le nom du compte et l’adresse e-mail, elles peuvent fournir des indications sur la région depuis laquelle l’utilisateur se connecte, son fournisseur d’accès ou ses habitudes de connexion passées. Les noms d’utilisateur sont également importants, car les joueurs peuvent employer le même pseudonyme sur différents jeux, services de diffusion en direct, forums ou réseaux sociaux. Ces recoupements rendent les messages d’hameçonnage ciblés plus convaincants et facilitent les tentatives d’ingénierie sociale visant de nouveaux comptes en exploitant l’historique d’anciens comptes.

Le périmètre confirmé pour cette fiche est de 6 486 626 inscriptions de comptes. Ce nombre ne doit pas être interprété comme le nombre exact de personnes distinctes : plusieurs comptes peuvent appartenir à une même personne, certains comptes peuvent être inactifs et des doublons peuvent exister, notamment dans les anciens forums. Il convient donc de dire que des données de comptes concernant des millions de joueurs et d’utilisateurs de forums ont été exposées. La date à retenir pour l’incident est le 29 mars 2017; les dates ultérieures de vérification ou d’archivage ne doivent pas être présentées comme la date de la violation de données.

Les champs de données confirmés sont l’adresse e-mail, l’adresse IP, le hachage du mot de passe et le nom d’utilisateur. Les autres champs, tels que le nom complet, le numéro de téléphone, l’adresse postale, la carte de paiement, l’historique des achats dans le jeu ou le contenu des messages privés, ne font pas partie des catégories de données dont l’exposition est confirmée dans cette fiche. Cette limite doit être clairement respectée dans le texte, car des descriptions exagérées concernant d’anciens comptes de jeu et de forum peuvent induire l’utilisateur en erreur. Une évaluation prudente doit se concentrer sur les risques liés aux informations d’identité et au recoupement des comptes.

Les personnes les plus exposées sont celles qui réutilisent ailleurs le mot de passe de leur compte Dueling Network. Les mots de passe employés sur d’anciens forums de jeu ont souvent pu être réutilisés sur des services de messagerie, des réseaux sociaux, des plateformes de streaming, des sites marchands ou d’autres plateformes de jeu. Dans ce cas, un attaquant peut tenter de prendre le contrôle de comptes en essayant sur différents services les combinaisons d’adresses e-mail et de noms d’utilisateur divulguées. Même si le mot de passe n’a pas été retrouvé à partir de son hachage, l’association du nom d’utilisateur et de l’adresse e-mail peut fournir suffisamment de contexte pour élaborer des messages d’hameçonnage ciblés.

Le deuxième groupe à risque est constitué des personnes qui utilisent le même nom d’utilisateur dans différentes communautés depuis de nombreuses années. Lorsque le pseudonyme de jeu, le pseudonyme de forum et l’adresse e-mail d’une personne sont réunis, ses différents profils en ligne peuvent être reliés entre eux. Si l’adresse IP vient s’y ajouter, les attaquants peuvent tenter d’en déduire des informations sur sa localisation, ses habitudes de connexion ou son fournisseur d’accès. Le risque est plus élevé pour les utilisateurs inscrits avec une adresse e-mail professionnelle, car un ancien compte de jeu peut fournir un contexte apparemment crédible à des tentatives d’hameçonnage visant le compte professionnel.

Si vous avez réutilisé le mot de passe de votre compte Dueling Network sur un autre compte, changez-le immédiatement. Donnez la priorité à vos comptes de messagerie, à vos réseaux sociaux, aux boutiques de jeux, aux comptes liés à des paiements et aux profils de forum créés avec le même nom d’utilisateur. Vos nouveaux mots de passe doivent être uniques, longs et aléatoires; ajouter simplement un chiffre ou un symbole à la fin de l’ancien mot de passe ne doit pas être considéré comme suffisant. Un gestionnaire de mots de passe facilite la création de mots de passe différents et robustes pour chaque service.

Si vos comptes prennent en charge la vérification en deux étapes, activez-la. Protégez tout particulièrement votre compte de messagerie, car de nombreux services envoient leurs liens de réinitialisation de mot de passe par e-mail. Méfiez-vous des liens de connexion, des alertes de réinitialisation de mot de passe et des messages de vérification de compte qui invoquent Dueling Network ou d’anciens comptes de jeu. Passez également en revue les anciens comptes de forum enregistrés avec la même adresse e-mail et fermez ceux que vous n’utilisez plus, ou changez leur mot de passe.

Cet incident montre que même les comptes de services fermés ou inutilisés peuvent avoir des conséquences sur la sécurité. Passez régulièrement en revue vos anciennes inscriptions, fermez les comptes de forum et de jeu que vous n’utilisez plus ou, au minimum, attribuez-leur des mots de passe uniques pour limiter les risques entre comptes. L’utilisation de la même adresse e-mail dans de nombreuses communautés pendant des années facilite le rapprochement des profils en cas de fuite. Employer des alias d’adresse e-mail distincts selon les usages réduit donc le risque à long terme.

En entreprise, l’utilisation par les salariés de leur adresse e-mail professionnelle sur des forums personnels et des comptes de jeu doit être restreinte. Les combinaisons de noms d’utilisateur, d’adresses e-mail et de hachages de mots de passe issues d’anciennes fuites peuvent servir à des tentatives automatisées contre les systèmes de connexion de l’entreprise. Les équipes de sécurité doivent considérer ces anciennes violations non seulement comme des faits historiques, mais aussi comme un indicateur de risque permettant d’évaluer la réutilisation des mots de passe et la sensibilisation des salariés. Les conséquences de l’utilisation d’algorithmes de hachage faibles pour stocker les mots de passe pouvant persister longtemps, les politiques de réinitialisation des mots de passe et d’authentification multifacteur doivent être tenues à jour.

Si votre adresse e-mail apparaît dans cette fiche, commencez par identifier les mots de passe que vous utilisiez à l’époque de votre utilisation de Dueling Network, puis changez-les sur tous les comptes où vous aviez employé le même mot de passe. Même si l’ancien service est fermé, les mêmes identifiants pourraient fonctionner sur d’autres comptes. Vérifiez les connexions inconnues, les règles de transfert et les messages de réinitialisation de mot de passe dans votre compte de messagerie. Si vous utilisiez le même nom d’utilisateur dans des communautés de jeu, sur des plateformes de streaming et sur des forums, examinez également l’historique des connexions et les paramètres de sécurité de ces comptes.

Face à cette violation de données, la bonne démarche consiste à mettre fin à la réutilisation des identifiants, sans paniquer. Les données divulguées ne permettent pas de confirmer l’exposition de champs tels que les cartes de paiement ou les adresses postales; toutefois, l’association d’une adresse e-mail, d’un nom d’utilisateur, d’une adresse IP et d’un mot de passe protégé par un hachage faible représente un risque sérieux pour la sécurité des comptes. Utilisez des mots de passe uniques, activez l’authentification à deux facteurs, ne cliquez pas sur les messages suspects et fermez régulièrement vos anciens comptes. Ces mesures réduisent considérablement le risque que la menace liée à Dueling Network s’étende à d’autres comptes.