Fuite de données chez Everybody Edits

Les types de données vérifiés sont les adresses e-mail, les adresses IP et les noms d’utilisateur. Une adresse e-mail peut permettre de relier le compte de jeu à des identités utilisées sur d’autres services. Un nom d’utilisateur peut, quant à lui, faciliter le rapprochement avec des réseaux sociaux, des forums, des plateformes de streaming ou d’autres comptes de jeu, notamment lorsqu’il est réutilisé depuis des années dans les communautés de joueurs. Une adresse IP ne donne pas directement l’adresse exacte d’un domicile; elle peut toutefois fournir des indices limités sur la région approximative, le fournisseur d’accès ou le contexte d’une session. Lorsque ces trois éléments sont réunis, les risques de messages ciblés, de suivi des comptes et de harcèlement au sein de la communauté augmentent.

Les mots de passe ne doivent pas être ajoutés à la liste des catégories de données concernées par cette fuite. Bien que la description fournie par la plateforme contienne des recommandations sur la sécurité des mots de passe, la liste des champs vérifiés se limite à l’adresse e-mail, à l’adresse IP et au nom d’utilisateur. Néanmoins, l’utilisation de la même adresse e-mail et du même nom d’utilisateur sur d’autres jeux ou plateformes sociales présente un risque. Des attaquants peuvent tenter de prendre le contrôle de comptes en combinant ces informations avec des mots de passe provenant d’autres fuites. Les mots de passe ne doivent donc pas être présentés comme un champ distinct concerné par cette fuite; le risque doit plutôt être évalué sous l’angle du rapprochement entre comptes, de l’hameçonnage ciblé et du recoupement avec d’autres fuites.

Le nombre vérifié de comptes sur lequel repose cette fiche est de 871 190. L’incident est lié aux fichiers diffusés le 23 mars 2019 et concerne des données de comptes de jeu. Il ne faut pas supposer que les mêmes champs de données ont été exposés dans la même mesure pour chaque utilisateur : l’annonce de la plateforme indiquait que les conséquences différaient entre les comptes du site principal, les comptes liés à Facebook et les autres modes de connexion. Par conséquent, dans la présentation publique de l’incident, les champs établis doivent rester l’adresse e-mail, l’adresse IP et le nom d’utilisateur, tandis que les autres conséquences liées au contexte doivent être considérées comme une limite du périmètre, et non comme des hypothèses supplémentaires.

Cet incident ne doit pas être étendu à des catégories de données personnelles autres que les trois champs vérifiés. De plus, une adresse IP seule ne doit pas être interprétée comme une information de localisation précise. La déclaration de la plateforme explique que certains comptes liés peuvent présenter des risques pour la vie privée, par exemple lorsqu’un nom de profil peut être associé à une adresse IP; toutefois, ces détails, qui ne relèvent pas des catégories de données vérifiées, ne doivent pas être généralisés à tous les comptes. Cette délimitation permet aux utilisateurs, notamment dans les communautés de joueurs, de comprendre le risque réel sans susciter de fausses alertes.

Les personnes les plus à risque sont celles qui ont créé un compte Everybody Edits entre 2010 et le début de 2019 et qui ont également utilisé le même nom d’utilisateur sur d’autres plateformes. Dans les communautés de joueurs, les noms d’utilisateur sont souvent réutilisés sur les forums, les réseaux sociaux, les chaînes de streaming et d’autres comptes de jeu. Cette pratique peut permettre de regrouper les différentes identités en ligne d’une personne, même si seule son adresse e-mail a été divulguée. Même ancienne, une adresse IP peut fournir des indications approximatives sur le contexte d’accès de l’utilisateur à une période donnée.

Les joueurs ayant utilisé une connexion liée à Facebook, les anciens membres de la communauté du jeu, les modérateurs, les créateurs de cartes et les personnes reconnaissables à leur nom d’utilisateur public peuvent être exposés à un risque supplémentaire. Les liens sociaux étant forts dans les communautés de joueurs, des attaquants peuvent envoyer des messages évoquant d’anciennes amitiés, la récupération d’un compte, des récompenses en jeu ou des invitations à des serveurs jouant sur la nostalgie. Les jeunes utilisateurs et les personnes qui n’ont pas consulté leurs anciens comptes depuis longtemps peuvent croire que ces messages sont authentiques. Le risque ne doit donc pas être envisagé uniquement sous l’angle d’une prise de contrôle technique des comptes, mais aussi sous celui du ciblage au sein de la communauté et de l’ingénierie sociale.

Si vous utilisez l’adresse e-mail associée à votre compte Everybody Edits pour d’autres jeux, forums ou comptes de réseaux sociaux, vérifiez les paramètres de sécurité de ces comptes. Réduisez les informations de profil visibles sur les comptes qui portent le même nom d’utilisateur et assurez-vous que les options de récupération de compte sont à jour. Utilisez un mot de passe unique pour chaque compte : même si les mots de passe ne figurent pas parmi les catégories de données vérifiées de cette fuite, les tentatives de recoupement avec d’autres fuites peuvent rendre leur réutilisation dangereuse. Activez l’authentification multifacteur sur votre compte de messagerie.

Méfiez-vous des messages inattendus proposant des récompenses en jeu, la récupération d’un ancien compte, des serveurs nostalgiques, une adhésion gratuite ou une invitation à une communauté. Vérifiez le nom de domaine avant de cliquer sur un lien et ne répondez pas aux personnes qui vous demandent des informations personnelles pour récupérer votre ancien compte de jeu. Si vous pensez que votre adresse IP a pu être divulguée à partir d’une ancienne session, sachez que cette donnée n’indique pas votre emplacement exact; vous pouvez toutefois examiner le routage de votre modem, la sécurité de votre réseau et vos paramètres de confidentialité afin de mieux protéger votre vie privée. Éviter d’afficher inutilement votre adresse e-mail sur des profils publics réduit également le risque de messages ciblés.

Les comptes de jeu sont généralement considérés comme peu importants, mais les noms d’utilisateur et les adresses e-mail utilisés pendant des années deviennent une composante de l’identité numérique d’une personne. À long terme, il est important d’utiliser un mot de passe distinct pour chaque compte de jeu et chaque compte communautaire, de privilégier des adresses e-mail distinctes pour les comptes sensibles et de fermer les anciens profils. Si vous utilisez le même nom d’utilisateur sur de nombreuses plateformes, vérifiez régulièrement quels comptes sont publics. Les anciens forums de jeux, les profils archivés et les liens vers les réseaux sociaux peuvent, une fois recoupés, créer une visibilité inutile.

Du point de vue des plateformes, cet incident montre que les anciens fichiers de suppression de comptes et les systèmes de connexion associés doivent être soigneusement protégés. Les durées de conservation inutilement longues des adresses IP doivent être réduites, l’exportation des données des utilisateurs doit être restreinte par des contrôles d’accès robustes, et les liens vers les fichiers doivent être générés de manière imprévisible. Du côté des utilisateurs, faire régulièrement le ménage dans les anciens comptes, utiliser des adresses e-mail masquées, activer l’authentification multifacteur et examiner avec prudence les messages provenant de la communauté de joueurs offre une protection durable. Ainsi, les anciennes données de jeu ne deviennent pas le premier maillon d’une chaîne susceptible de fragiliser la sécurité actuelle des comptes.

Si vous avez joué à Everybody Edits ou créé un compte sur everybodyedits.com avant 2019, vous devez vérifier si votre adresse e-mail est associée à cette fiche. Si une correspondance est trouvée, sécurisez d’abord votre compte de messagerie, puis passez en revue les autres plateformes sur lesquelles vous avez utilisé le même nom d’utilisateur. Le principal risque de cet incident tient à la possibilité de relier des comptes entre eux lorsque l’adresse e-mail, l’adresse IP et le nom d’utilisateur sont visibles ensemble. Les mots de passe ne doivent pas être ajoutés comme champ de données distinct dans cette fiche, mais un mot de passe unique doit être utilisé pour chaque compte important afin d’éviter toute réutilisation.

Cette fiche décrit la fuite de données d’Everybody Edits dans son périmètre vérifié : l’incident est lié à des données de la communauté de joueurs datant du 23 mars 2019, le nombre de comptes touchés est de 871 190, et les catégories de données vérifiées sont les adresses e-mail, les adresses IP et les noms d’utilisateur. Les mesures à prendre doivent consister à renforcer la sécurité du compte de messagerie, à vérifier les profils qui utilisent le même nom d’utilisateur, à se méfier des messages inattendus liés au jeu ou à la communauté, et à réduire la visibilité des anciens comptes.