Games Box Fuite de données

Le risque le plus important dans les données de Games Box tient au fait que les mots de passe ne sont pas uniquement stockés sous forme de hachages : certains enregistrements les contiennent aussi en clair. Un mot de passe en clair permet à un attaquant de l’essayer directement, sans avoir à le retrouver à partir d’un hachage. Si ce même mot de passe est utilisé pour un autre compte de messagerie, de jeu, de réseau social, de forum ou d’achat en ligne, le risque de prise de contrôle du compte est immédiat. Les mots de passe hachés ne doivent pas non plus être considérés comme sûrs : les mots de passe faibles ou réutilisés peuvent être retrouvés au fil du temps.

Lorsque les adresses e-mail, les noms d’utilisateur, l’âge et les informations relatives au genre sont réunis, le risque de fraude ciblée et de profilage augmente. Même si l’âge et le genre ne sont pas, à eux seuls, considérés comme des informations d’identité particulièrement sensibles, leur association avec une adresse e-mail et un nom d’utilisateur permet de créer de fausses notifications, des arnaques liées aux comptes de jeu et des messages d’hameçonnage plus convaincants. L’utilisateur doit donc vérifier non seulement son mot de passe, mais aussi les autres plateformes sur lesquelles il utilise les mêmes informations de profil.

Le nombre confirmé pour cette fiche doit rester fixé à 1 439 354. Cette valeur représente le nombre d’adresses e-mail uniques présentes dans le jeu de données; chaque enregistrement ne correspond pas nécessairement à une personne réelle distincte. Plusieurs comptes ouverts par une même personne, d’anciennes adresses e-mail apparaissant séparément ou des doublons peuvent influer sur l’interprétation de ce nombre. Par ailleurs, la redistribution des données de l’incident au sein d’une archive plus vaste ne suffit pas, à elle seule, à élargir le périmètre de cette fiche.

Les catégories de données confirmées sont les informations relatives à l’âge, les adresses e-mail, les informations relatives au genre, les mots de passe et les noms d’utilisateur. Le champ du mot de passe peut contenir un hachage ou du texte en clair; cette distinction doit être conservée dans le texte. Les adresses IP, les numéros de téléphone, les adresses postales, les données de cartes de paiement, les données de pièces d’identité officielles, les messages privés, l’historique des achats dans les jeux et les informations sur les appareils ne font pas partie des champs confirmés et ne doivent donc pas être ajoutés à la fiche. Le risque présenté à l’utilisateur doit être expliqué uniquement à partir des catégories de données dont la présence est confirmée.

Le risque est le plus élevé pour les utilisateurs qui réutilisent le mot de passe de leur compte Games Box sur d’autres comptes. Disposer d’un mot de passe en clair permet aux attaquants de l’essayer plus facilement sur différents services. Même si un ancien compte sur un site de jeux n’est plus utilisé, le risque persiste lorsque le même mot de passe reste valide sur un compte actif de messagerie, de boutique de jeux, de réseau social ou de forum. Les anciens comptes de jeu ouverts au nom de jeunes utilisateurs peuvent être particulièrement faciles à oublier, alors que la même adresse e-mail et le même mot de passe peuvent rester utilisés ailleurs pendant des années.

Le risque de recevoir des messages ciblés doit également être évalué pour les utilisateurs dont l’âge et le genre figurent dans les données. Les attaquants peuvent exploiter ces champs pour créer des messages qui semblent personnalisés, portant par exemple sur des promotions, des récompenses, des vérifications de compte ou des cadeaux dans les jeux. Si le nom d’utilisateur est également utilisé dans d’autres jeux et sur des réseaux sociaux, le risque de rapprochement entre les profils augmente. Un utilisateur dont l’adresse est retrouvée dans les données doit donc vérifier non seulement son compte Games Box, mais aussi tous les comptes associés à la même adresse e-mail et au même nom d’utilisateur.

Les utilisateurs dont l’adresse e-mail figure dans cette fuite doivent d’abord s’assurer que le mot de passe de leur compte Games Box n’est utilisé sur aucun autre compte. Si le même mot de passe, ou un mot de passe similaire, a été utilisé sur un autre service, ils doivent immédiatement le remplacer par un mot de passe unique, long et difficile à deviner. Un gestionnaire de mots de passe facilite la création d’un mot de passe distinct pour chaque compte. Compte tenu du risque lié aux mots de passe en clair, modifier seulement quelques caractères ou ajouter des chiffres à la fin ne doit pas être considéré comme suffisant.

L’authentification à deux facteurs doit être activée sur les comptes de messagerie, les boutiques de jeux, les réseaux sociaux, les forums et les plateformes permettant des paiements. Si l’historique du compte révèle un appareil inconnu, une connexion inattendue, une demande de réinitialisation du mot de passe ou une notification de sécurité suspecte, toutes les sessions doivent être fermées et les informations de récupération mises à jour. Pour les messages portant sur des récompenses dans les jeux, du crédit gratuit, des codes cadeaux ou une vérification de compte, l’adresse et les informations sur l’expéditeur doivent être vérifiées par un autre moyen avant de cliquer sur les liens.

L’incident Games Box montre que les mots de passe utilisés sur d’anciens sites de jeux peuvent devenir un problème de sécurité, même des années plus tard. Les utilisateurs ne doivent pas réutiliser le même mot de passe pour leurs comptes de jeu, de forum, de messagerie, de réseau social et d’achat en ligne. Les comptes qui ne sont plus utilisés doivent être fermés; pour ceux qui ne peuvent pas l’être, le mot de passe doit être rendu unique et les informations de profil réduites au minimum. L’utilisation du même nom d’utilisateur sur plusieurs plateformes doit également être un choix réfléchi, car elle facilite le rapprochement entre les profils.

La leçon la plus importante pour les fournisseurs de services est que les mots de passe ne doivent jamais être stockés en clair, quelles que soient les circonstances. Leur stockage doit reposer sur des algorithmes de hachage à jour, avec un coût de calcul ajusté, et les contrôles d’accès doivent faire l’objet d’audits réguliers. Les champs de profil tels que l’âge et le genre ne doivent pas être conservés plus longtemps que nécessaire. Seules les informations réellement nécessaires doivent être stockées, conformément au principe de minimisation des données. Lors du signalement d’un incident, il faut préciser clairement quels champs sont hachés et lesquels sont en clair.

Lors d’une vérification dans les données de la fuite Games Box, le résultat indique si l’adresse e-mail saisie est présente dans ce jeu de données confirmé. Si le résultat est positif, l’adresse e-mail, le nom d’utilisateur, l’âge, le genre et le mot de passe doivent être considérés comme exposés à un risque. Le champ du mot de passe pouvant être en clair dans certains enregistrements, un résultat positif doit être pris au sérieux. Si le résultat est négatif, cela signifie qu’aucune correspondance n’a été trouvée dans ce jeu de données précis; cela ne prouve pas que la personne n’a pas été concernée par d’autres fuites.

La bonne démarche consiste à abandonner définitivement l’ancien mot de passe, à remplacer tous les mots de passe réutilisés sur l’ensemble des plateformes, à ajouter une authentification multifacteur aux comptes essentiels et à vérifier les autres comptes de jeu ou de réseau social créés avec le même nom d’utilisateur. L’utilisateur ne doit pas considérer le risque comme négligeable au motif que l’incident est ancien ou que le site n’est plus actif. La présence éventuelle d’un mot de passe en clair peut fournir suffisamment d’informations pour tenter de prendre le contrôle de comptes, même des années plus tard.