Funny Games Fuite de données

Le point le plus critique confirmé dans cette fuite concerne les mots de passe, stockés sous forme d’empreintes MD5 salées. L’utilisation d’un sel réduit la probabilité que des comptes ayant le même mot de passe présentent des empreintes identiques. Toutefois, MD5 est considéré comme faible au regard des exigences de sécurité actuelles. Si le mot de passe est court, prévisible ou déjà apparu dans une fuite antérieure, la probabilité de retrouver le mot de passe à partir de son empreinte augmente. Cette situation accroît le risque de prise de contrôle du compte Funny Games, mais aussi des comptes de messagerie, de jeux, de réseaux sociaux, de forums ou d’achat en ligne sur lesquels le même mot de passe est réutilisé.

Lorsque les adresses e-mail et les noms d’utilisateur sont obtenus ensemble, les attaquants peuvent connaître le pseudonyme sous lequel le titulaire du compte s’est inscrit et l’adresse e-mail utilisée. Ces deux informations peuvent servir à élaborer des messages d’hameçonnage ciblés, de fausses pages de connexion et des tentatives de réinitialisation de mot de passe. La présence d’adresses IP peut apporter un contexte supplémentaire sur les traces de connexion d’un utilisateur. Une adresse IP ne constitue pas, à elle seule, une preuve certaine de l’identité, mais, associée à des informations sur l’heure, la localisation et la session, elle augmente le risque de profilage de l’utilisateur.

Le nombre d’enregistrements confirmés doit rester fixé à 764 357. Ce chiffre correspond au nombre d’enregistrements contenus dans le fichier de données divulgué; chaque enregistrement ne représente pas nécessairement une personne réelle distincte. Une même personne peut avoir ouvert plusieurs comptes, ses anciennes adresses e-mail et ses adresses actuelles peuvent apparaître séparément, ou des enregistrements peuvent être dupliqués pour des raisons techniques. L’évaluation de l’étendue de la fuite doit donc conserver ce nombre, sans présenter le nombre de personnes concernées comme une certitude non vérifiée.

Les champs de données confirmés pour cette fiche sont les adresses e-mail, les adresses IP, les noms d’utilisateur et les mots de passe. Le champ du mot de passe doit être décrit comme une empreinte MD5 salée. Aucun mot de passe en clair, aucune donnée de carte de paiement, aucun numéro de pièce d’identité, aucune adresse postale complète, aucun numéro de téléphone, aucune date de naissance, aucun historique de paiement dans le jeu ni aucune donnée de message privé ne doit être ajouté à cette fiche sans vérification. Le pays n’étant pas non plus explicitement confirmé, l’entreprise ne doit pas être rattachée à un pays précis. Cela évite de présenter aux utilisateurs une description trop large ou non étayée de la fuite.

Le risque est le plus élevé pour les utilisateurs qui réutilisent sur d’autres plateformes le mot de passe de leur compte Funny Games. Lorsque l’adresse e-mail et le nom d’utilisateur restent identiques, les attaquants peuvent cibler différents comptes au moyen de tentatives de connexion automatisées. Les mots de passe des anciens comptes de jeu restant souvent inchangés pendant des années, le risque n’a pas complètement disparu, même si l’incident est ancien. Si un ancien mot de passe est encore utilisé aujourd’hui sur un autre compte actif, les données décrites dans cette fiche ont encore des conséquences concrètes pour la sécurité.

Les comptes ouverts pour des enfants et de jeunes joueurs doivent également faire l’objet d’une attention particulière. Les noms d’utilisateur employés sur les sites de jeux et de divertissement sont parfois réutilisés sur les réseaux sociaux, les services de messagerie, les plateformes de streaming ou les forums. Cette réutilisation peut permettre de relier les identités en ligne d’une personne dans différents environnements. La présence de l’adresse IP apporte aussi une trace supplémentaire des environnements de connexion depuis lesquels le compte a été utilisé. Le titulaire doit donc vérifier non seulement son compte de jeu, mais aussi tous les comptes associés à la même adresse e-mail et au même pseudonyme.

Dans le contexte de cette fiche, si vous utilisez une adresse e-mail, vous devez d’abord vous assurer que l’ancien mot de passe de votre compte Funny Games n’est utilisé nulle part ailleurs. Si vous avez utilisé le même mot de passe ou un mot de passe similaire sur un autre compte, remplacez-le immédiatement par un mot de passe robuste et unique. L’utilisation d’un gestionnaire de mots de passe pour générer un mot de passe distinct, long et difficile à deviner pour chaque compte réduit le risque de réutilisation. Lorsque vous changez un mot de passe, modifier uniquement le dernier caractère ou ajouter quelques éléments au même modèle ne suffit pas.

L’authentification multifacteur doit être activée sur les comptes de messagerie, de jeux et de réseaux sociaux, ainsi que sur tous les services impliquant des transactions financières. Si l’historique d’activité d’un compte fait apparaître des accès inconnus, des appareils non reconnus, des demandes inattendues de réinitialisation de mot de passe ou des e-mails de sécurité, vous devez fermer les sessions et mettre à jour les options de récupération. Même si la présence de données téléphoniques ou de paiement n’a pas été confirmée dans cet incident, les attaquants peuvent utiliser l’adresse e-mail, le nom d’utilisateur et l’ancien mot de passe dans des messages qui semblent fiables. Examinez donc attentivement les liens et les pièces jointes que vous recevez.

Bien que cette fuite soit ancienne, la leçon à long terme est de ne pas laisser le mot de passe constituer la seule ligne de défense. Les utilisateurs doivent choisir un mot de passe unique pour chaque compte, imposer une protection multifacteur sur les comptes critiques et examiner régulièrement leurs anciens comptes de jeux ou de forums. Les comptes qui ne sont plus utilisés doivent être fermés si possible. Si leur fermeture est impossible, leur mot de passe doit être rendu unique et les informations du profil réduites au minimum.

Du côté de l’organisation, les méthodes de hachage obsolètes comme MD5 doivent être abandonnées au profit d’algorithmes modernes dont le coût de calcul est adapté au stockage des mots de passe. Conserver d’anciens fragments de code dans le système crée, au fil du temps, une dette de sécurité invisible. Dans les applications qui traitent des données de comptes, l’inventaire du code, la journalisation des accès, la vérification des dépendances et les tests de sécurité réguliers doivent donc être maintenus en continu. Les notifications destinées aux utilisateurs doivent distinguer clairement les champs de données touchés, ceux qui ne le sont pas et les mesures à prendre.

Lors d’une vérification relative à la fuite de Funny Games, le résultat indique si l’adresse e-mail de la personne figure dans cet ensemble de données. Si le résultat est positif, le nom d’utilisateur, l’adresse e-mail, l’adresse IP et l’empreinte du mot de passe doivent être considérés comme exposés à un risque. Si le résultat est négatif, cela signifie qu’aucune correspondance n’a été trouvée dans cet ensemble de données précis; cela ne signifie pas que la personne n’a pas été concernée par d’autres fuites. L’évaluation de la sécurité ne doit donc pas se limiter à une seule fiche.

Au vu de cette fiche, les mesures appropriées consistent à cesser d’utiliser les anciens mots de passe, à adopter un mot de passe unique, à activer l’authentification multifacteur et à vérifier l’historique de sécurité des autres comptes utilisant la même adresse e-mail. Lorsqu’une empreinte de mot de passe a été exposée dans un incident passé, des attaquants peuvent réutiliser les données même des années plus tard. Les utilisateurs doivent abandonner complètement leurs anciens modèles de mots de passe, en particulier ceux employés pour les comptes de jeux et de divertissement, et ne pas minimiser les alertes de sécurité en se fondant uniquement sur la date de l’incident.