Final Fantasy Shrine Fuite de données

Les types de données confirmés dans cette fiche sont les adresses e-mail, les noms d’utilisateur, les hachages de mots de passe et les informations liées à l’activité sur le site. La description de l’incident indique également que des adresses IP figurent parmi les enregistrements publiés. Une adresse e-mail peut permettre à un attaquant de contacter l’utilisateur, un nom d’utilisateur peut aider à rapprocher des comptes appartenant à différentes communautés, et les hachages de mots de passe peuvent permettre des tentatives de cassage. Les informations sur l’activité du site peuvent fournir des indices supplémentaires sur la présence d’une personne sur le forum ou sur le contexte d’utilisation de son compte.

Le stockage des mots de passe sous forme de hachages salés offre une meilleure protection qu’un stockage en clair en cas de fuite; le risque persiste toutefois pour les mots de passe faibles ou réutilisés. Les attaquants peuvent rapidement tester des mots de passe courts, des mots du dictionnaire, des noms de personnages de jeux, des expressions auxquelles une année de naissance a été ajoutée ou des schémas de mots de passe déjà divulgués. Les mots de passe utilisés sur d’anciens comptes de forum, comme ceux de Final Fantasy Shrine, peuvent avoir été réutilisés sur d’autres comptes au fil du temps. L’incident concerne donc non seulement le compte du forum, mais aussi tous les comptes sur lesquels ce mot de passe a été utilisé.

Le nombre d’adresses e-mail uniques vérifiées est de 620 677. La date retenue pour l’incident est le 18 septembre 2015, et la fiche est associée au forum Final Fantasy Shrine. Le total de 620 681 précédemment observé dans la base de données dépassait de quelques enregistrements le nombre d’adresses e-mail uniques vérifiées; pour évaluer le nombre d’utilisateurs concernés, il convient de retenir 620 677 comme valeur de référence. Les principaux champs de données de la fuite portent sur l’identifiant du compte du forum, l’adresse e-mail, les hachages de mots de passe et l’activité sur le site.

Dans cette fiche, les champs relatifs aux cartes de paiement, aux comptes bancaires, aux adresses postales, aux numéros de téléphone, aux documents d’identité officiels, au contenu des messages privés ou aux mots de passe en clair ne font pas partie du périmètre vérifié. Le fait que les mots de passe soient hachés ne signifie pas qu’un attaquant peut les lire immédiatement; les mots de passe anciens et faibles peuvent toutefois être cassés. Il est important de bien comprendre cette limite : il ne faut pas ajouter d’affirmations concernant des données financières ou des adresses, mais la réutilisation des mots de passe constitue un risque sérieux pour la sécurité des comptes.

Les utilisateurs les plus exposés sont ceux qui réutilisent le mot de passe de leur compte Final Fantasy Shrine sur d’autres plateformes. Si ce même mot de passe est utilisé pour des comptes de messagerie, de jeux, de réseaux sociaux, de forums ou de sites marchands, des attaquants peuvent tenter d’utiliser ces combinaisons sur différents services. Lorsque d’anciens comptes de forum ont été oubliés, les utilisateurs peuvent avoir du mal à se souvenir des autres comptes sur lesquels ils ont réutilisé ce mot de passe.

Les utilisateurs qui emploient le même nom d’utilisateur dans différentes communautés de joueurs risquent de voir leurs comptes rapprochés. L’utilisation d’un même pseudonyme sur plusieurs forums, comptes de jeux ou profils de réseaux sociaux peut faciliter le recoupement des traces numériques d’une personne avec une adresse e-mail divulguée. Le fait que le forum rassemble une communauté autour de centres d’intérêt précis, tels que Final Fantasy et les musiques de jeux, peut être exploité pour envoyer de faux messages communautaires, de fausses notifications de récupération de compte ou des invitations à réactiver une ancienne inscription.

Si votre adresse e-mail figure dans cette fiche, changez le mot de passe que vous avez pu utiliser sur votre compte Final Fantasy Shrine, ainsi que celui de tous les comptes sur lesquels vous l’avez réutilisé. Le fait que seul le compte du forum ne soit plus actif ne suffit pas : l’ancien mot de passe peut encore être utilisé sur un autre compte. Choisissez un mot de passe fort et unique pour votre compte de messagerie, activez l’authentification à deux facteurs et fermez les sessions que vous ne reconnaissez pas. Les comptes de jeux et les profils de réseaux sociaux doivent être vérifiés avec le même degré de priorité.

Méfiez-vous des messages envoyés au nom d’un ancien forum ou d’une communauté de joueurs. Si un lien vous invite à saisir un mot de passe, à vérifier votre compte, à réactiver une ancienne inscription ou à connecter votre compte de jeu, effectuez la vérification en saisissant vous-même le nom de domaine du service plutôt qu’en suivant le lien. Activez les notifications de sécurité sur les autres plateformes où vous utilisez le même nom d’utilisateur. L’utilisation d’un gestionnaire de mots de passe pour créer un mot de passe unique pour chaque compte réduit considérablement le risque dans ce type de situation.

L’incident de Final Fantasy Shrine montre que d’anciens comptes communautaires peuvent continuer à présenter un risque de sécurité pendant longtemps. Il convient de passer régulièrement en revue les comptes de forums, de jeux, de partage de fichiers et de communautés créés des années auparavant. Les comptes qui ne sont plus utilisés devraient être fermés; pour ceux qui restent actifs, il faut privilégier des mots de passe uniques et l’authentification à deux facteurs. L’utilisation d’une même adresse e-mail pendant de nombreuses années peut faciliter l’exploitation d’anciennes fuites dans de nouvelles campagnes d’attaque.

Pour les services de forums et les plateformes communautaires, la principale leçon est que les hachages de mots de passe doivent être protégés par des algorithmes robustes et une valeur de sel unique pour chaque utilisateur. En outre, la conservation de données de compte inutiles dans d’anciens logiciels de forum peut aggraver les conséquences d’une attaque. Pour les utilisateurs, le principe essentiel reste le même : même si un compte de jeu ou de loisir semble présenter peu de risques, son mot de passe ne doit pas être réutilisé sur d’autres comptes. Lorsqu’un compte communautaire est compromis, tous les comptes numériques sur lesquels le même mot de passe a été utilisé peuvent être touchés.

Si votre adresse e-mail figure dans la fiche consacrée à Final Fantasy Shrine, commencez par vous remémorer le mot de passe que vous utilisez ou avez pu utiliser sur ce forum. Si ce mot de passe, ou un mot de passe similaire, est utilisé sur d’autres comptes, changez-les tous. Donnez la priorité aux comptes de messagerie, de jeux, de réseaux sociaux et de sites marchands. Si vous recevez une notification de connexion suspecte, un message inattendu de réinitialisation du mot de passe ou une tentative de récupération de compte provenant d’une personne que vous ne reconnaissez pas, vérifiez immédiatement les paramètres de sécurité du compte concerné.

Même si la présence de données de paiement ou de documents d’identité n’a pas été confirmée dans cette fuite, l’association de noms d’utilisateur, d’adresses e-mail, d’informations sur l’activité du site et de hachages de mots de passe représente un risque important pour la sécurité des comptes. La démarche la plus appropriée consiste à ne pas considérer l’ancien compte de forum isolément, mais à examiner tous les services sur lesquels le même mot de passe a été utilisé. Des mots de passe uniques, la validation en deux étapes, la vérification de l’historique des sessions et l’habitude de réduire le nombre d’anciens comptes limitent les conséquences à long terme de fuites touchant d’anciennes communautés comme Final Fantasy Shrine.