Dungeons & Dragons Online Fuite de données

Les types de données vérifiés sont les dates de naissance, les adresses e-mail, les adresses IP, les noms d’utilisateur, l’activité sur le site web et les empreintes de hachage des mots de passe. L’association d’une adresse e-mail et d’un nom d’utilisateur peut faciliter le rapprochement entre une personne et ses comptes sur d’autres forums de jeu, plateformes sociales ou espaces communautaires. Les dates de naissance peuvent servir à élaborer des messages d’ingénierie sociale portant sur la récupération d’un compte ou la vérification de l’âge. Les adresses IP peuvent donner des indications approximatives sur le réseau et la localisation. L’activité sur le site web peut apporter des précisions sur la manière dont l’utilisateur interagit avec le site.

Les empreintes de hachage ne sont pas des mots de passe en clair. Toutefois, le risque ne peut pas être considéré comme nul lorsque le type de hachage et la robustesse du mot de passe sont inconnus. Des mots de passe faibles ou réutilisés peuvent encore figurer dans des listes destinées à des tentatives automatisées, même des années plus tard. Les comptes de jeu peuvent être particulièrement ciblés, car les joueurs utilisent parfois le même nom d’utilisateur sur les forums, les clients de jeu, les plateformes de discussion et les réseaux sociaux. La fuite de données de Dungeons & Dragons Online est donc importante non seulement en tant que fichier ancien lié à un jeu, mais aussi au regard des liens créés par la réutilisation des noms d’utilisateur et des mots de passe.

La date vérifiée retenue pour l’incident est le 2 avril 2013. Ce fichier a été ajouté aux listes de violations de données vérifiées le 12 mars 2016. Le nombre de comptes concernés est fixé à 1 580 933; certaines descriptions peuvent parler d’environ 1,6 million de comptes de joueurs. Cette page se fonde sur le nombre total d’enregistrements utilisés dans la recherche. Le périmètre couvre les données de comptes et du site web associées à Dungeons & Dragons Online; il ne faut pas le confondre avec l’ensemble de la marque, le jeu de rôle sur table ou d’autres services de jeu.

Les limites du périmètre ne doivent pas être considérées comme définitives. Dans ce fichier, les données de cartes de paiement, de comptes bancaires, de pièces d’identité officielles, d’adresses postales, de numéros de téléphone, d’inventaires d’objets en jeu ou de conversations privées ne constituent pas des catégories de données vérifiées. Le champ du mot de passe doit lui aussi être considéré comme une empreinte de hachage, et non comme un mot de passe en clair. L’activité sur le site web désigne les actions de l’utilisateur liées au site; il ne faut pas supposer que le même niveau de détail est disponible pour chaque utilisateur. La description des risques doit se limiter à ces champs vérifiés.

Le groupe le plus exposé au risque est celui des joueurs qui possédaient un compte Dungeons & Dragons Online ou un compte web associé avant 2013. Il est plus facile d’établir le profil des personnes qui utilisent le même nom d’utilisateur sur les forums DDO, dans d’autres communautés de joueurs, sur des applications de discussion ou sur les réseaux sociaux. La date de naissance et l’adresse e-mail peuvent servir à créer de faux messages de récupération de compte ou de fausses alertes concernant un ancien compte de jeu. L’adresse IP peut également aider à personnaliser le message en fonction de la localisation.

Les joueurs qui réutilisent le même mot de passe sur différents services sont également exposés. Même si l’ancien mot de passe DDO reste associé à un compte qui ne semble plus actif aujourd’hui, ce même mot de passe peut toujours être utilisé sur des comptes de messagerie, des boutiques de jeux, d’autres comptes MMO ou des forums. Les comptes de jeu sont parfois oubliés pendant longtemps; pourtant, leurs listes d’amis, leur historique de jeu, la réputation liée au nom d’utilisateur et l’adresse e-mail associée peuvent leur donner de la valeur aux yeux des attaquants. Il faut donc vérifier les anciens mots de passe de jeu en même temps que ceux des comptes actifs.

Si l’ancien mot de passe utilisé pour Dungeons & Dragons Online est encore utilisé sur un autre compte, changez-le immédiatement. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, pour des comptes de messagerie, de boutiques de jeux, de réseaux sociaux, de forums ou d’applications de messagerie, attribuez un mot de passe unique à chacun. Protégez votre compte de messagerie principal avec une authentification à deux facteurs. Si vous pouvez accéder à votre ancien compte de jeu, vérifiez l’adresse e-mail associée, les paramètres de récupération et l’historique des sessions.

Méfiez-vous des messages évoquant la vérification d’un compte de jeu, d’anciens personnages, une suspension de compte, des objets gratuits, des sessions suspectes ou une réinitialisation de mot de passe. Même si le nom d’utilisateur, la date de naissance ou les détails concernant l’ancien jeu sont exacts, cela ne suffit pas à rendre le message digne de confiance. Au lieu de cliquer sur le lien, accédez directement à l’adresse du service concerné. Dans ce cas, puisque la présence d’informations de paiement n’a pas été vérifiée, il convient de se concentrer sur la sécurisation de la procédure de réinitialisation du mot de passe, la protection du compte de messagerie et la vérification des comptes des communautés de joueurs, plutôt que de céder à la panique concernant ses finances.

À long terme, protégez vos comptes de jeu, vos comptes de forum et votre compte de messagerie principal avec des mots de passe distincts. L’utilisation d’un gestionnaire de mots de passe évite que d’anciens mots de passe de jeu restent utilisés sur d’autres comptes. Employer le même nom d’utilisateur sur toutes les plateformes augmente le risque de rapprochement entre les profils; pour les comptes importants, privilégiez des noms d’utilisateur différents et des mécanismes de vérification robustes. Fermez les comptes de jeu et de forum que vous n’utilisez plus ou, au minimum, remplacez leurs mots de passe par des mots de passe robustes.

Pour les administrateurs de plateformes, cet incident montre qu’il ne faut pas considérer les comptes des communautés de joueurs comme de simples comptes de divertissement. Les champs tels que la date de naissance, l’adresse IP, le nom d’utilisateur et l’activité sur le site doivent être protégés comme des données personnelles. Les empreintes de mots de passe doivent être stockées à l’aide de méthodes robustes, les anciens systèmes de forums et de comptes doivent être maintenus à jour, l’accès aux données des utilisateurs doit être restreint et les mouvements inhabituels de données doivent être surveillés. Même si les comptes de jeu semblent peu importants, la réutilisation des mots de passe peut avoir des conséquences sur les autres comptes de l’utilisateur.

Si une correspondance apparaît dans ce fichier, votre compte peut figurer parmi les 1 580 933 enregistrements associés à la fuite de données de Dungeons & Dragons Online. Une correspondance ne signifie pas que vos informations de paiement, vos objets en jeu ou vos conversations privées ont été divulgués. Les champs vérifiés sont la date de naissance, l’adresse e-mail, l’adresse IP, le nom d’utilisateur, l’activité sur le site et l’empreinte de hachage du mot de passe. La première étape consiste à déterminer sur quels autres comptes vous avez réutilisé le mot de passe que vous utilisiez pour DDO vers 2013.

Si votre ancien mot de passe DDO est utilisé sur d’autres comptes, changez-le. Activez la vérification en deux étapes sur votre compte de messagerie, mettez à jour les informations de récupération de vos comptes de jeu et méfiez-vous des messages personnalisés provenant du même nom d’utilisateur. Face à la fuite de données de Dungeons & Dragons Online, la bonne approche n’est pas de présenter abusivement l’incident comme une fuite de l’intégralité de l’inventaire en jeu ou des données de paiement, mais de remédier à la réutilisation d’anciens mots de passe et de sécuriser les comptes des communautés de joueurs en se fondant sur les catégories de données de compte vérifiées.