Fuite de données chez EpicBot

La combinaison de l’adresse e-mail, du nom d’utilisateur et de l’adresse IP enregistrés auprès d’EpicBot peut servir à relier des profils au sein des communautés de joueurs. Les utilisateurs de bots pour RuneScape peuvent avoir réutilisé le même nom d’utilisateur sur des forums de jeu, des interfaces de gestion de bots, des serveurs de discussion ou des comptes de réseaux sociaux. Cela aide un attaquant à reconnaître une même personne sur différentes plateformes et à préparer des messages ciblés.

Les empreintes de mots de passe constituent l’un des principaux points de vigilance. MD5 salé et bcrypt n’offrent pas le même niveau de sécurité : bcrypt est considéré comme plus lent et plus résistant, tandis que les empreintes MD5 salées sont plus faciles à attaquer. L’utilisateur ne peut pas nécessairement voir quelle méthode de hachage a été employée pour chaque entrée du jeu de données. Une approche prudente consiste donc à s’assurer que le mot de passe du compte EpicBot n’est utilisé sur aucun autre compte. Si le même mot de passe est réutilisé, les comptes de jeu, de messagerie, de réseaux sociaux et ceux liés à des moyens de paiement pourraient être menacés.

Le périmètre principal vérifié pour cette fiche est de 816 662 comptes. La date consignée pour l’incident est le 1er septembre 2019; la circulation ultérieure des données ou leur ajout à des listes de violations ne signifie pas que la violation s’est produite à une date plus récente. La date affichée à l’utilisateur est celle de la violation associée à l’incident. Cette distinction évite les erreurs d’interprétation lorsque différentes dates d’ajout apparaissent sur l’écran « Sécurité des comptes ».

Les catégories de données vérifiées sont l’adresse e-mail, l’adresse IP, le mot de passe et le nom d’utilisateur. Le numéro de téléphone, l’adresse postale, les données de carte de paiement, le nom et le prénom réels, l’inventaire du compte de jeu, le solde de monnaie virtuelle dans le jeu et le contenu des messages privés ne figurent pas parmi les champs vérifiés de cette fiche. Le fait qu’EpicBot fournisse des bots pour RuneScape ne permet pas de conclure que le contenu du compte de jeu de l’utilisateur ou son compte de jeu principal a directement fait l’objet d’une fuite. La description doit se concentrer sur les risques pour le compte du service de bots et ses identifiants de connexion.

Les utilisateurs les plus exposés sont ceux qui réutilisent sur d’autres comptes le mot de passe de leur compte EpicBot. Les utilisateurs actifs sur le plan technique dans les communautés de bots de jeu peuvent avoir utilisé la même adresse e-mail sur des forums de jeu, des outils de développement, des portefeuilles de cryptomonnaies ou des services d’accès à distance. Dans ce cas, une ancienne fuite de données d’un compte de bots peut ouvrir la voie à des tentatives de connexion à d’autres comptes à l’aide de ces identifiants.

Les personnes qui utilisent le même nom d’utilisateur dans différentes communautés de joueurs risquent de voir leurs profils reliés entre eux. Le champ d’adresse IP peut également permettre de déduire, dans une mesure limitée, la région de connexion ou le fournisseur d’accès. Puisqu’ils utilisent un service de bots, ces utilisateurs peuvent être ciblés par de faux avertissements de bannissement, des notifications de sécurité du compte, des messages de récupération de biens virtuels dans le jeu ou des liens de renouvellement de licence de bot. Ces messages peuvent sembler plus convaincants lorsqu’ils s’appuient sur le contexte d’un incident réel.

Si votre adresse e-mail figure dans la fiche EpicBot, vérifiez immédiatement si le mot de passe que vous utilisiez pour ce compte est réutilisé sur d’autres comptes. Si vous avez utilisé le même mot de passe ou un mot de passe similaire pour des comptes de messagerie, de jeu, de forum, de réseaux sociaux, de portefeuille ou de paiement, changez-le immédiatement. Les nouveaux mots de passe doivent être uniques, longs et aléatoires; conservez-les dans un gestionnaire de mots de passe. Ajouter un chiffre à la fin de l’ancien mot de passe ne suffit pas.

Méfiez-vous des messages de sécurité liés aux jeux et aux bots. Les messages concernant un bannissement de compte, une licence de bot, des biens virtuels dans le jeu, un abonnement gratuit ou une vérification urgente du mot de passe peuvent être frauduleux. Au lieu de cliquer sur le lien, accédez directement au service concerné à son adresse officielle. Activez l’authentification à deux facteurs sur les comptes qui la prennent en charge. Vérifiez si votre compte de messagerie comporte des sessions, des règles de transfert ou des adresses de récupération que vous ne reconnaissez pas.

L’incident EpicBot montre que les comptes de bots de jeu et de communautés spécialisées doivent être gérés avec autant de soin que les comptes principaux de messagerie et de jeu. Utilisez des mots de passe distincts pour vos comptes de bots, de forums et de communautés de joueurs et, si possible, privilégiez des alias d’adresse e-mail distincts. Utiliser le même nom d’utilisateur partout augmente le risque de rapprochement entre vos profils; utiliser des noms d’utilisateur différents selon les usages rend ce rapprochement plus difficile.

Du côté des plateformes, la leçon à long terme est de maintenir les méthodes de stockage des mots de passe à jour, conformément aux normes actuelles. Bcrypt peut être une option robuste s’il est correctement configuré; MD5 salé ne doit plus être considéré comme suffisant. Les anciennes données de comptes ne doivent pas être conservées inutilement, les accès aux bases de données doivent être surveillés et les logiciels de forum ou d’interface de gestion doivent être mis à jour régulièrement. Du côté des utilisateurs, cesser de réutiliser les mots de passe empêche les risques liés à ces anciennes données de s’étendre à d’autres comptes.

Si votre adresse e-mail figure dans cette fiche, n’en concluez pas que votre mot de passe a forcément été publié en clair; toutefois, l’utiliser ailleurs n’est pas sûr en raison du risque lié aux empreintes MD5 salées ou bcrypt. La combinaison de l’adresse e-mail, du nom d’utilisateur et de l’adresse IP peut servir à relier vos profils dans les communautés de joueurs et à vous envoyer des messages ciblés. Évitez donc de réutiliser vos mots de passe, activez l’authentification à deux facteurs sur vos comptes importants et ne cliquez pas sur les liens suspects.

La bonne démarche consiste à ne pas considérer un compte de service de bots comme un ancien compte sans importance. Vérifiez vos comptes de jeu, votre compte de messagerie et les comptes de forums ouverts avec le même nom d’utilisateur. Fermez les comptes inutilisés, utilisez des mots de passe uniques et ne répondez pas aux messages menaçants liés aux bots ou aux jeux sans les avoir vérifiés par un canal officiel. La violation de données d’EpicBot montre que même les comptes associés à des outils de jeu spécialisés peuvent présenter des risques à long terme pour la confidentialité des identifiants de connexion et des profils.