Fuite de données chez Emuparadise

L’association de l’adresse e-mail et du nom d’utilisateur figurant dans la fiche Emuparadise peut aider un attaquant à relier une personne à différents profils en ligne. Dans les communautés de jeux rétro, les noms d’utilisateur peuvent rester inchangés pendant des années : le même pseudonyme peut donc apparaître sur d’autres forums, boutiques de jeux ou plateformes sociales. Une adresse IP ne constitue pas, à elle seule, une preuve certaine de localisation; elle peut toutefois permettre des déductions limitées sur la zone géographique de connexion, le fournisseur d’accès ou les habitudes de connexion.

Le fait que les mots de passe soient stockés sous forme de hachages MD5 salés ne signifie pas que l’attaquant les voit en clair. Toutefois, la rapidité de calcul de MD5 laisse subsister un risque pour les mots de passe faibles. Si une personne a utilisé le même mot de passe pour sa messagerie, une boutique de jeux, un forum, un réseau social ou un site d’achat, cette fuite peut donner lieu à des tentatives d’utilisation de ces identifiants. La circulation de données d’anciens forums, des années plus tard, rend particulièrement risqués les mots de passe qui n’ont pas été modifiés depuis longtemps.

Le périmètre principal vérifié pour cette fiche est de 1 131 229 comptes. L’incident est daté du 1er avril 2018; l’ajout ultérieur de cette fiche à des systèmes de recherche de fuites de données ne signifie pas que la fuite a eu lieu en 2019 ou plus tard. Cette distinction entre les dates est également importante lorsque des utilisateurs voient toutes les fuites affichées sur l’écran Sécurité des comptes avec des dates récentes, comme 2025 : la date d’ajout ou de vérification ne doit pas être confondue avec celle de la fuite.

Les catégories de données vérifiées sont l’adresse e-mail, l’adresse IP, le mot de passe et le nom d’utilisateur. Le numéro de téléphone, l’adresse postale, les données de carte de paiement, les nom et prénom réels, les messages privés et l’historique des téléchargements de jeux ne font pas partie des catégories de données vérifiées pour cette fiche. Le fait que l’infrastructure du forum soit concernée ne doit pas laisser entendre que tous les contenus du site ou les fichiers de jeux des utilisateurs ont été divulgués. Pour informer les utilisateurs avec précision, il convient de se concentrer sur les risques qui touchent leur compte de forum et leurs informations d’identité.

Les utilisateurs les plus à risque sont généralement ceux qui réutilisent sur d’autres comptes le mot de passe de leur compte de forum Emuparadise. Dans les communautés de jeux rétro et d’émulation, un même nom d’utilisateur peut être conservé longtemps sur différents forums et plateformes de jeux. L’association de l’adresse e-mail, du nom d’utilisateur et du hachage du mot de passe est donc utile pour tenter de prendre le contrôle de comptes. Un mot de passe utilisé sur un ancien compte de forum peut être essayé sur d’autres services, même des années plus tard.

Les utilisateurs dont l’adresse IP permet de déduire des informations sur leur région ou leur réseau peuvent également être exposés à des messages ciblés. Si un nom d’utilisateur est connu dans les communautés de jeux nostalgiques, des attaquants peuvent envoyer des messages ayant pour thèmes de fausses notifications de forum, la réactivation de comptes, des archives de jeux, des alertes liées à l’adhésion ou des liens de téléchargement. Pour les personnes inscrites avec une adresse e-mail professionnelle, le risque peut prendre la forme de tentatives d’hameçonnage qui, à partir d’un ancien compte personnel sur un forum, visent un compte professionnel.

Si votre adresse e-mail figure dans la fiche Emuparadise, vérifiez d’abord si vous réutilisez le mot de passe de votre compte de forum sur d’autres comptes. Si vous utilisez un mot de passe identique ou similaire, changez immédiatement les mots de passe de vos comptes de messagerie, de boutiques de jeux, de réseaux sociaux, de forums et de sites d’achat. Les nouveaux mots de passe doivent être longs et uniques, et, si possible, générés à l’aide d’un gestionnaire de mots de passe. Apporter de petites modifications à l’ancien mot de passe ne suffit pas à assurer votre sécurité.

Activez la validation en deux étapes sur les comptes qui la proposent. Vérifiez les sessions inconnues, les adresses de récupération et les règles de transfert dans votre compte de messagerie. Ne cliquez pas directement sur les liens contenus dans des messages ayant pour thème les jeux rétro ou les forums; si vous devez vérifier votre compte, saisissez l’adresse manuellement. Examinez les paramètres de confidentialité de vos autres comptes communautaires utilisant le même nom d’utilisateur et envisagez de fermer les anciens comptes dont vous ne vous servez plus.

Cet incident illustre les effets à long terme des anciens comptes de forum sur la sécurité. Les utilisateurs devraient régulièrement fermer les comptes de forums et de communautés de jeux qu’ils n’utilisent plus, ou les isoler à l’aide de mots de passe uniques. Utiliser partout la même adresse e-mail et le même nom d’utilisateur facilite le rapprochement entre différents profils en cas de fuite. Des alias de messagerie et des noms d’utilisateur distincts selon les usages réduisent ce risque.

Pour les organisations et les plateformes communautaires, la leçon est qu’il faut régulièrement mettre à jour les anciens logiciels de forum et les méthodes de stockage des mots de passe. Bien que le MD5 salé ait été couramment utilisé par le passé, il ne répond pas aux exigences actuelles de sécurité. Les systèmes modernes devraient utiliser des algorithmes de hachage de mots de passe lents et robustes, éviter de conserver inutilement les données d’anciens comptes et surveiller en permanence les accès aux bases de données. Du côté des utilisateurs, cesser de réutiliser les mots de passe empêche les données d’anciennes fuites d’affecter les comptes actuels.

Si votre adresse e-mail figure dans cette fiche, n’en concluez pas que votre mot de passe a nécessairement été divulgué en clair. Toutefois, compte tenu du risque lié au hachage MD5 salé, il n’est pas sûr de réutiliser ce mot de passe ailleurs. L’association de l’adresse e-mail, du nom d’utilisateur et de l’adresse IP peut servir à relier votre ancienne identité sur le forum à d’autres comptes. Mettez donc vos mots de passe à jour, activez l’authentification à deux facteurs sur les comptes importants et méfiez-vous des messages suspects ayant pour thème les forums.

La bonne démarche consiste à intégrer cet ancien compte de forum à votre plan de sécurité actualisé. Fermez les comptes inutilisés, limitez la réutilisation des noms d’utilisateur et des mots de passe, protégez votre compte de messagerie et ne cliquez pas sur les liens auxquels vous ne faites pas confiance. La fuite de données d’Emuparadise montre que même les comptes sur des plateformes anciennes et nostalgiques, comme celles des communautés de jeux rétro, peuvent présenter un risque pour la sécurité des identifiants et la confidentialité des profils des années plus tard.