EpicNPC Fuite de données

L’adresse e-mail et le nom d’utilisateur présents dans les données d’EpicNPC peuvent servir à rapprocher, sur différentes plateformes, les profils de personnes qui achètent et vendent des comptes de jeux. Un utilisateur peut avoir repris le même pseudonyme sur des forums de jeux, des places de marché, des réseaux sociaux ou des serveurs de messagerie. L’adresse IP peut aussi permettre de déduire, dans une mesure limitée, la région de connexion ou le fournisseur d’accès. Ensemble, ces éléments rendent les messages ciblés plus convaincants.

Le fait que les mots de passe soient représentés par des hachages MD5 salés ne signifie pas que chaque mot de passe a été divulgué en clair. Toutefois, en raison de la rapidité de MD5, le risque de cassage est élevé pour les mots de passe faibles. Si le même mot de passe est utilisé pour la messagerie, des comptes de jeux, les réseaux sociaux, une place de marché ou des comptes liés à des paiements, des attaquants peuvent tenter d’utiliser cette combinaison sur d’autres services. Dans le contexte de l’achat et de la vente de comptes de jeux, les faux services d’intermédiation ainsi que les messages de récupération de compte ou de contestation de paiement présentent également des risques supplémentaires.

Le périmètre principal confirmé pour cette fiche est de 408 795 comptes. La date de l’incident est enregistrée comme étant le 2 janvier 2016. Le fait que les données aient été ajoutées à des systèmes de recherche de fuites plusieurs années plus tard ne signifie pas que la fuite s’est produite à une date plus récente. La date à afficher à l’utilisateur est celle de l’incident de 2016 associé à cet ensemble de données. Cette distinction évite que d’anciennes fuites affichées sur l’écran « Sécurité des comptes » soient prises à tort pour un incident actuel.

Les catégories de données confirmées sont l’adresse e-mail, l’adresse IP, le mot de passe et le nom d’utilisateur. Le numéro de téléphone, l’adresse postale, les données de carte de paiement, les informations bancaires, les messages privés, l’historique des transactions, l’inventaire du compte de jeu et le solde de monnaie en jeu ne figurent pas parmi les champs confirmés de cette fiche. Le fait qu’EpicNPC soit une place de marché ne permet pas de supposer que les utilisateurs ont subi des pertes financières ou perdu des actifs en jeu. Une description exacte doit se concentrer sur les identifiants de connexion et le risque de rapprochement entre profils.

Les utilisateurs les plus exposés sont ceux qui réutilisent le mot de passe de leur compte EpicNPC sur d’autres comptes. Les personnes qui achètent et vendent des comptes de jeux peuvent avoir utilisé la même adresse e-mail sur des boutiques de jeux, des places de marché, des forums, des plateformes de messagerie ou des services de paiement. Dans ce cas, une ancienne fuite provenant d’un forum pourrait servir à tenter de compromettre des comptes de jeux de plus grande valeur ou le compte de messagerie principal.

Le risque de rapprochement entre profils est également élevé pour les personnes qui utilisent le même nom d’utilisateur dans différentes communautés de joueurs. Un attaquant peut tenter de deviner les jeux dont l’utilisateur échange des comptes ou son historique sur les places de marché, puis lui envoyer de faux messages concernant des intermédiaires, la sécurité des comptes, des litiges entre acheteurs et vendeurs ou la vérification de paiements. Pour les utilisateurs inscrits avec une adresse e-mail professionnelle, ce risque peut prendre la forme de messages d’hameçonnage ciblés qui passent du contexte d’un compte personnel de commerce de comptes de jeux à celui d’un compte professionnel.

Si votre adresse e-mail figure dans les données d’EpicNPC, commencez par vérifier si le mot de passe de ce compte a été réutilisé sur d’autres comptes. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, pour votre messagerie, une boutique de jeux, un réseau social, une place de marché, un service de messagerie instantanée ou un compte lié à des paiements, changez-le immédiatement. Vos nouveaux mots de passe doivent être uniques, longs et aléatoires, et conservés dans un gestionnaire de mots de passe.

Accordez une attention particulière aux messages liés au commerce de comptes de jeux. Les messages concernant de faux services d’intermédiation, la récupération de comptes, des litiges de vente, des bannissements de comptes, la vérification de paiements ou des liens de transaction sécurisée peuvent viser à vous piéger par hameçonnage. Au lieu de cliquer sur le lien, accédez directement au compte concerné depuis son adresse officielle. Activez l’authentification à deux facteurs sur les comptes qui la prennent en charge et vérifiez si des sessions inconnues sont ouvertes sur votre compte de messagerie.

L’incident EpicNPC montre que les comptes de places de marché et de forums de jeux doivent rester distincts du compte de messagerie principal et des comptes de jeux. Les utilisateurs doivent employer des mots de passe différents pour leurs comptes de commerce, de forum, de boutique de jeux et de messagerie personnelle. Utiliser partout le même nom d’utilisateur facilite le rapprochement entre profils; des noms d’utilisateur distincts et des alias d’adresse e-mail adaptés à chaque usage réduisent ce risque.

Du côté de la plateforme, il s’agit de tenir à jour les formations de longue durée, les anciens logiciels de forum et les méthodes de stockage des mots de passe. MD5 salé ne doit plus être considéré comme suffisant : les systèmes modernes doivent utiliser des algorithmes de hachage plus robustes et plus lents. Du côté des utilisateurs, l’authentification à deux facteurs, des procédures d’intermédiation fiables, des adresses e-mail distinctes et des mots de passe uniques doivent être utilisés conjointement sur les places de marché où se déroulent les transactions. Cette approche réduit le risque que d’anciennes fuites de données affectent les comptes de jeux actuels.

Si votre adresse e-mail figure dans cette fiche, n’en concluez pas que les données de votre carte de paiement ou l’inventaire de votre compte de jeu ont été divulgués : ces champs ne sont pas confirmés. En revanche, l’association de l’adresse e-mail, de l’adresse IP, du nom d’utilisateur et du hachage MD5 salé du mot de passe constitue un avertissement sérieux pour la sécurité de vos comptes. Changez le mot de passe de tous les comptes sur lesquels vous réutilisez le même mot de passe, activez l’authentification à deux facteurs sur vos comptes importants et méfiez-vous des messages suspects liés aux places de marché.

Ne minimisez pas l’importance de votre compte EpicNPC au motif qu’il s’agit d’un ancien compte de forum. Vérifiez vos comptes de boutiques de jeux, de places de marché, de messagerie et de réseaux sociaux. Fermez les comptes de forum inutilisés, évitez qu’un même nom d’utilisateur permette de relier facilement vos profils sur différentes plateformes et ne cliquez pas sur des liens de transaction auxquels vous ne faites pas confiance. La fuite de données d’EpicNPC montre que les identifiants de connexion issus de communautés de commerce de comptes de jeux peuvent entraîner des risques durables de fraude et d’atteinte à la confidentialité des profils.