Fuite de données chez GameSalad

Dans cette fuite, les adresses e-mail, les noms d’utilisateur et les adresses IP ont été exposés, ainsi que les mots de passe. Le stockage des mots de passe sous forme de hachages SHA-256 ne signifie pas qu’ils étaient conservés en clair. Toutefois, SHA-256 utilisé seul n’est pas considéré aujourd’hui comme l’une des solutions les plus robustes pour stocker des mots de passe. Si un mot de passe est court, prévisible ou réutilisé sur d’autres comptes, des attaquants peuvent tenter de retrouver le mot de passe à partir de son hachage, puis cibler différents services par des tentatives de connexion automatisées. Le risque augmente si la même adresse e-mail et le même mot de passe ont été utilisés pour des comptes liés à l’éducation, au développement de jeux, à des forums, aux réseaux sociaux ou à la messagerie.

Les adresses IP et les noms d’utilisateur apportent également des éléments de contexte supplémentaires. Une adresse IP ne constitue pas, à elle seule, une preuve certaine de localisation ou d’identité. Cependant, associée à une adresse e-mail et à un nom d’utilisateur, elle peut servir à rapprocher des profils, à créer de fausses notifications de sécurité et à envoyer des messages d’hameçonnage ciblés. Les utilisateurs d’outils éducatifs et de création comme GameSalad peuvent être des étudiants, des développeurs indépendants ou de petites équipes. Lorsqu’ils associent leurs comptes de projet à leurs comptes de messagerie personnels, les conséquences d’une fuite peuvent s’étendre à un ensemble plus large de comptes.

Le nombre vérifié pour l’incident GameSalad doit rester fixé à 1 506 242. Cette valeur représente le nombre de comptes associés à cet incident. Le fait de mentionner celui-ci dans une vague plus large de ventes de données incluant d’autres plateformes ne justifie pas d’attribuer un chiffre supérieur à GameSalad. Un même utilisateur peut posséder plusieurs comptes, certains enregistrements peuvent encore contenir d’anciennes adresses e-mail et des doublons techniques peuvent être présents. Ce chiffre doit donc être présenté comme un nombre d’enregistrements de comptes, et non comme le nombre exact de personnes physiques concernées.

Les catégories de données vérifiées sont les adresses e-mail, les adresses IP, les mots de passe et les noms d’utilisateur. Le champ du mot de passe doit être décrit comme un hachage SHA-256. Les champs tels que le numéro de téléphone, l’adresse postale, les données de paiement, la pièce d’identité officielle, la date de naissance, les messages privés, les fichiers de projet de jeu, les informations sur les appareils ou les dossiers d’étudiants ne doivent pas être ajoutés à cette fiche sans vérification. Cette limite permet d’informer correctement les utilisateurs sur les risques et évite de déduire des catégories de données non étayées à partir des usages généraux de la plateforme.

Les utilisateurs les plus exposés sont ceux qui réutilisent le mot de passe de leur compte GameSalad sur d’autres comptes. Sur les plateformes éducatives et de développement de jeux, les utilisateurs créent souvent leurs comptes avec une adresse e-mail personnelle. Lorsque la même adresse e-mail et le même mot de passe sont encore valides pour leur messagerie, une boutique de jeux, un compte étudiant, un forum ou un réseau social, une fuite ancienne devient un risque actuel de prise de contrôle de compte.

Les développeurs indépendants, les étudiants, les enseignants et les petites équipes disposant de comptes doivent également faire preuve de vigilance. Le nom d’utilisateur et l’adresse e-mail peuvent être associés au profil d’une personne dans les communautés de développement. L’adresse IP peut aussi fournir des indices supplémentaires sur le contexte de la session. Même si un ancien compte n’est plus utilisé, le maintien du même nom d’utilisateur sur différentes plateformes peut permettre à des attaquants de cibler la personne avec de faux messages de collaboration, de partage de projet, de vérification de compte ou de contenu éducatif.

Si votre adresse e-mail figure dans les données GameSalad, assurez-vous que l’ancien mot de passe de votre compte GameSalad n’est plus valide sur aucune autre plateforme. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, ailleurs, créez pour chaque compte un mot de passe distinct, long et difficile à deviner. L’utilisation d’un gestionnaire de mots de passe réduit le risque de réutilisation. Modifier une petite partie du mot de passe, ajouter une année à la fin ou conserver le même schéma ne suffit pas.

Activez l’authentification à deux facteurs pour vos comptes de messagerie, les plateformes éducatives, les outils de développement de jeux, les réseaux sociaux et les services permettant des paiements. Si l’historique d’un compte présente des sessions non reconnues, des appareils inconnus, des demandes de réinitialisation du mot de passe ou des notifications de sécurité, fermez les sessions et mettez à jour les informations de récupération. Examinez attentivement les fausses invitations à des projets, les codes cadeaux et les messages de vérification de compte liés à GameSalad ou au développement de jeux. Avant de cliquer sur un lien, vérifiez l’adresse et les informations sur l’expéditeur par un moyen indépendant.

L’incident GameSalad montre que les comptes utilisés pour des outils éducatifs et de création doivent être protégés autant que les comptes principaux liés à votre identité. Ne réutilisez pas le même mot de passe pour vos comptes personnels, éducatifs, de développement et de réseaux sociaux. Examinez régulièrement vos anciens comptes de plateforme. Fermez les comptes inutilisés ou isolez-les à l’aide de mots de passe uniques et d’une authentification multifacteur. Réutiliser le même nom d’utilisateur sur de nombreuses plateformes doit être un choix réfléchi, car cela facilite le rapprochement des profils.

Pour les fournisseurs de services, la principale leçon est que le hachage des mots de passe ne doit pas se limiter à une fonction de hachage standard. Il convient de privilégier des méthodes modernes, conçues pour les mots de passe et dont le coût de calcul est réglable. Les données de session, comme les adresses IP, ne doivent pas être conservées plus longtemps que nécessaire, et les journaux d’accès doivent être régulièrement audités. Lors du signalement d’un incident, il faut indiquer clairement quelles données ont été divulguées, quelles données n’ont pas pu être vérifiées et comment le périmètre propre à la plateforme se distingue des chiffres d’une archive plus vaste.

Lors d’une recherche dans les enregistrements de la fuite GameSalad, le résultat indique si l’adresse e-mail saisie figure dans cet ensemble de données vérifié. Si le résultat est positif, l’adresse e-mail, le nom d’utilisateur, l’adresse IP et le hachage SHA-256 du mot de passe doivent être considérés comme faisant partie des données à risque. Si le résultat est négatif, cela signifie qu’aucune correspondance n’a été trouvée dans cet ensemble de données précis. Cela ne signifie pas que la personne n’a pas été concernée par d’autres fuites. Le résultat doit donc être interprété uniquement dans le contexte de l’incident GameSalad.

La bonne démarche consiste à abandonner définitivement l’ancien mot de passe, à remplacer tous les mots de passe réutilisés, à protéger votre compte de messagerie par une authentification multifacteur et à examiner les comptes éducatifs, de développement ou de jeux ouverts avec le même nom d’utilisateur. Un incident ancien présente un risque actuel si les mêmes mots de passe sont encore utilisés aujourd’hui. Si une correspondance est trouvée dans les enregistrements, vous devez non seulement sécuriser votre compte GameSalad, mais aussi revoir vos habitudes sur tous les comptes associés aux mêmes identifiants.