Flash Flash Revolution (fuite de données de 2019)

Les types de données dont la présence est vérifiée pour la fuite de 2019 sont les dates de naissance, les adresses e-mail, les adresses IP, les mots de passe et les noms d’utilisateur. Les mots de passe étaient stockés sous forme d’empreintes MD5 salées. L’adresse e-mail et le nom d’utilisateur peuvent servir à tenter d’accéder à des comptes et à rapprocher des profils sur différents services. L’adresse IP peut fournir un historique de connexion ou des indications géographiques. La date de naissance peut être détournée pour créer des messages qui témoignent d’une meilleure connaissance de l’utilisateur, deviner les réponses à certaines questions de récupération de compte ou renforcer des scénarios d’authentification.

Les empreintes MD5 salées offrent une meilleure protection que les mots de passe en clair, mais MD5 reste une méthode faible au regard des exigences de sécurité actuelles. Le risque de cassage persiste pour les mots de passe faibles, courts ou réutilisés. La fuite de 2019 s’ajoute à l’incident de 2016 et en est indépendante : les utilisateurs ne doivent donc pas se reposer uniquement sur leurs anciens changements de mot de passe. Les personnes qui ont défini un nouveau mot de passe après 2016, mais l’ont utilisé jusqu’en 2019, peuvent également être exposées.

Le nombre vérifié de comptes uniques est de 1 858 124. La date retenue pour l’incident est le 16 juillet 2019. Les données recensées concernent la plateforme Flash Flash Revolution et correspondent à un incident distinct, qui s’ajoute à la fuite subie par le même service en 2016. Les champs de données se limitent aux adresses e-mail, aux adresses IP, aux noms d’utilisateur, aux dates de naissance et aux empreintes MD5 salées de mots de passe. Ce périmètre constitue la principale différence entre les données recensées pour 2019 et celles de 2016.

Pour cet incident, les numéros de téléphone, les adresses postales, les cartes de paiement, les comptes bancaires, les pièces d’identité officielles, le contenu des messages privés et l’historique des achats ne font pas partie des champs de données vérifiés. La présence d’une date de naissance accroît le risque, mais aucune affirmation concernant des données financières ne doit être ajoutée. Les utilisateurs doivent évaluer l’incident au regard des risques liés à la sécurité des comptes, à la réutilisation des mots de passe, à l’ingénierie sociale facilitée par la date de naissance et au rapprochement de leurs identités sur les forums.

Les utilisateurs les plus exposés sont ceux qui utilisent le mot de passe de leur compte Flash Flash Revolution sur d’autres comptes de jeu, de forum, de messagerie ou de réseaux sociaux. Les personnes qui ont changé leur mot de passe après l’incident de 2016, mais ont conservé longtemps ce nouveau mot de passe, ont également pu être touchées par la fuite de 2019. Le fait que l’ancien compte de jeu ne soit plus actif n’élimine pas le risque : les mêmes mots de passe peuvent encore être utilisés sur d’autres comptes.

Le risque de messages ciblés est plus élevé pour les personnes dont la date de naissance et le nom d’utilisateur figurent ensemble dans les données. Des attaquants peuvent concevoir des messages évoquant d’anciennes communautés de joueurs, des offres d’anniversaire, la récupération de compte, des récompenses, des tournois, la vérification de profil ou des contrôles de sécurité. Les informations IP et les adresses e-mail peuvent aussi rendre ces messages plus convaincants. Les personnes qui utilisent le même pseudonyme sur différentes plateformes doivent tenir compte du risque de rapprochement de leur identité numérique entre plusieurs services.

Si votre adresse e-mail figure dans les données de cet incident, changez le mot de passe que vous utilisiez pour votre compte Flash Flash Revolution en 2019, ainsi que celui de tous les comptes sur lesquels vous l’avez réutilisé. Même si vous avez changé votre mot de passe après la fuite de 2016, vérifiez si celui utilisé en 2019 est encore en place sur d’autres comptes. Donnez la priorité aux comptes de messagerie, aux comptes de jeu, aux profils de réseaux sociaux et aux sites d’achat en ligne. Utilisez un mot de passe long et unique pour chaque service.

Activez la vérification en deux étapes sur votre compte de messagerie, gardez les notifications de sécurité activées et fermez les sessions que vous ne reconnaissez pas. Pour les messages envoyés au nom d’un ancien forum ou d’une communauté de joueurs, vérifiez le domaine en le saisissant vous-même avant de cliquer sur le lien. Si un message vous demande un mot de passe, un code à usage unique ou des informations de récupération de compte, vérifiez cette demande par un autre canal. Un message qui connaît votre date de naissance ne doit pas être considéré automatiquement comme fiable.

L’incident de Flash Flash Revolution de 2019 montre qu’une même plateforme peut subir des fuites distinctes au cours de différentes années. Les utilisateurs ne doivent pas considérer qu’un seul changement de mot de passe suffit : ils doivent déterminer quels mots de passe ont pu être concernés par chaque incident, selon la période où ils les utilisaient. Des mots de passe uniques pour les comptes de jeu et de forum, l’authentification à deux facteurs et la surveillance régulière des sessions sont des mesures de sécurité fondamentales à long terme. Les anciens comptes doivent être fermés ou protégés par des adresses e-mail à jour et des mots de passe robustes.

Pour les plateformes communautaires, un stockage sécurisé des mots de passe, des logiciels de forum à jour, la surveillance des accès et une information claire des utilisateurs en cas de violations répétées sont essentiels. La conservation de données personnelles supplémentaires, telles que la date de naissance, augmente l’impact d’un incident de sécurité touchant les comptes. Réduire les données personnelles inutiles, maintenir à jour les algorithmes de hachage des mots de passe et auditer régulièrement les bases de données des comptes sont des exigences de sécurité permanentes pour ces services communautaires.

Si votre adresse e-mail figure dans les données de Flash Flash Revolution de 2019, gardez à l’esprit que cet incident est distinct de celui de 2016. Changez le mot de passe que vous utilisiez en 2019, ainsi que celui de tous les autres comptes qui utilisent le même mot de passe. Protégez votre compte de messagerie avec l’authentification à deux facteurs, activez les notifications de sécurité sur vos comptes de jeu et de réseaux sociaux, et méfiez-vous des messages personnalisés à l’aide de votre date de naissance.

Les champs de données vérifiés dans cette fuite sont l’adresse e-mail, l’adresse IP, le nom d’utilisateur, la date de naissance et les empreintes MD5 salées de mots de passe. La présence de numéros de téléphone, d’adresses postales ou de données de paiement n’est pas vérifiée; toutefois, l’association du mot de passe et de la date de naissance présente un risque élevé. La démarche la plus appropriée consiste à évaluer séparément les données recensées pour 2016 et 2019, à faire le ménage dans votre historique de mots de passe, à utiliser un mot de passe unique pour chaque compte et à empêcher vos anciens comptes de jeu ou de forum de créer des risques sur d’autres services.