Galactic Games: allégation de fuite de données en 2021

Le nom du fichier d’archive attribue celle-ci à Galactic Games, mais aucune déclaration de l’exploitant, aucun rapport d’incident indépendant ni aucune fiche source publique sur la fuite de données actuelle n’ont été trouvés; l’attribution à galacticgames.co.uk et la date de l’incident restent donc non vérifiées. La date existante de mars 2021 est conservée uniquement comme un ancien repère du catalogue, dont la précision se limite au mois et qui n’est pas étayé. Elle n’est pas présentée comme la date d’accès, d’exfiltration ou de publication.

Deux analyseurs compilés indépendants ont examiné de manière exhaustive les 50 110 lignes de dix-neuf champs du fichier SQL de 9 489 140 octets contenu dans l’archive. Le schéma officiel oc_customer d’OpenCart 1.5.6.4 associe le champ d’indice 4, dans une indexation à partir de zéro, à email, sur la base d’une correspondance exacte des dix-neuf colonnes. Ce champ a fourni 50 082 occurrences valides sous forme canonique, 28 valeurs rejetées et 50 079 adresses e-mail canoniques uniques. Le schéma source comporte des champs pour le nom, le téléphone, le mot de passe, le sel du mot de passe et l’adresse IP; aucun de ces champs n’a été importé dans la recherche de LeakData. Seules les relations associées aux adresses e-mail entrent dans le périmètre de recherche.

Le traitement historique s’est achevé le 2 juillet 2026 et fait état de 50 049 lignes valides et de 50 049 adresses e-mail importées; la base Mongo en production contient elle aussi 50 049 relations uniques. Toutefois, les données d’entrée normalisées du traitement historique n’existent plus, et le traitement ne dispose ni d’un manifeste d’entrée ni d’une empreinte SHA-256 de la source. L’archive actuelle et l’ensemble en production ne sont pas identiques : 42 valeurs d’adresse e-mail de la source, valides selon les critères actuels, sont absentes de la base en production, tandis que 12 valeurs de cette base sont absentes de l’ensemble canonique actuel de la source. Dix de ces douze valeurs passent le validateur actuel, et deux avaient été acceptées par l’ancien validateur mais ne respectent pas la règle actuelle relative aux points dans la partie locale. Aucun import supplémentaire n’a été effectué et aucune relation existante n’a été supprimée, car cela aurait mélangé des versions de la source dont les divergences restent non résolues.

Les 50 110 lignes SQL brutes ne constituent pas un décompte de personnes, et ni les 50 079 adresses e-mail de la source ni les 50 049 relations en production ne sont présentées comme un nombre vérifié de personnes touchées. Aucune source externe fiable faisant autorité sur le périmètre de l’incident n’a été trouvée; aucun pwnCount n’est donc publié. La recherche exacte actuelle dans source publique sur la fuite de données a renvoyé 404 et la liste publique ne contenait aucune correspondance; cette absence n’est pas considérée comme une preuve réfutant l’incident. Une correspondance d’adresse e-mail ne prouve pas à elle seule qu’une personne est titulaire d’un compte, a effectué des achats ou s’intéresse aux jeux vidéo, ni que d’autres champs étaient présents dans le même enregistrement ou qu’un usage abusif a eu lieu.