Fuite de données chez GamingMonk

Lors de cette fuite, les adresses e-mail et les noms d’utilisateur ont été exposés, ainsi que les noms, les numéros de téléphone et les dates de naissance. Cette combinaison permet aux attaquants de rédiger des messages qui semblent personnalisés. Les numéros de téléphone peuvent servir à des escroqueries par SMS, à de faux appels d’assistance et à des fraudes à la vérification de compte. Les dates de naissance aggravent le risque, car certains services les utilisent comme réponse à une question de sécurité ou comme élément de vérification de l’identité.

Le stockage des mots de passe sous forme d’empreintes bcrypt offre une protection plus solide que leur stockage en clair. Néanmoins, les mots de passe courts, faibles ou réutilisés sur d’autres comptes restent risqués. Si le même mot de passe a été utilisé sur des services de messagerie, de jeux vidéo, de réseaux sociaux, de tournois ou de paiement, les attaquants peuvent exploiter ces anciennes données dans de nouvelles tentatives de connexion. Si votre adresse a bien été retrouvée dans les données, vous devriez donc vérifier à la fois votre mot de passe et les paramètres de sécurité des comptes associés à votre numéro de téléphone et à votre date de naissance.

Le nombre confirmé pour cette fiche doit rester de 654 510. Il correspond au nombre d’adresses e-mail uniques couvertes; chaque enregistrement ne correspond pas nécessairement à une personne distincte. Un même utilisateur peut avoir plusieurs comptes, d’anciennes adresses e-mail peuvent apparaître séparément, ou les données peuvent contenir des doublons. Néanmoins, la présence conjointe de numéros de téléphone, de dates de naissance et d’empreintes de mots de passe fait de cet incident une fuite aux conséquences potentiellement importantes pour cette communauté de joueurs.

Les catégories de données confirmées sont les dates de naissance, les adresses e-mail, les noms, les mots de passe, les numéros de téléphone et les noms d’utilisateur. Il convient de préciser que le champ du mot de passe contient une empreinte bcrypt. Les adresses postales, les informations de paiement, les données d’identification officielles, les messages privés, les informations sur les appareils, les adresses IP, les inventaires dans les jeux et l’historique des achats ne doivent pas être ajoutés à cette fiche, car ils ne font pas partie des champs confirmés. Le fait que la plateforme ait ensuite poursuivi ses activités sous une autre marque ne constitue pas une preuve suffisante pour ajouter de nouvelles catégories de données au périmètre de l’incident.

Le risque le plus élevé concerne les utilisateurs qui réutilisent sur d’autres services le mot de passe de leur compte GamingMonk. Sur les plateformes d’esport et de tournois, les utilisateurs créent souvent des comptes avec leur adresse e-mail personnelle et leur numéro de téléphone. Ces informations peuvent être exploitées dans de fausses invitations à des tournois, des notifications de récompense, des demandes de vérification de compte ou des messages d’assistance. Comme les attaquants disposent du numéro de téléphone et de la date de naissance, ils peuvent rendre leurs messages plus personnels et plus convaincants.

Vous devez également être vigilant si vous participez à des communautés de joueurs basées en Inde ou à des tournois, ou si vous utilisez le même nom d’utilisateur sur différentes plateformes. Si ce nom d’utilisateur est aussi utilisé sur des réseaux sociaux, des plateformes de streaming ou des boutiques de jeux, le risque de rapprochement entre vos profils augmente. Même si votre compte n’est plus actif, le risque persiste tant que votre numéro de téléphone et votre adresse e-mail restent utilisables. Vous ne devez donc pas vous concentrer uniquement sur votre ancien compte sur cette plateforme.

Si votre adresse e-mail figure dans ces données, assurez-vous que l’ancien mot de passe de votre compte GamingMonk n’est plus valable sur aucun autre compte. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, sur d’autres services, remplacez-le immédiatement par un mot de passe long, unique et difficile à deviner. L’utilisation d’un gestionnaire de mots de passe réduit le risque de réutilisation. Même si le hachage Bcrypt est une méthode de stockage plus robuste, il ne rend pas la réutilisation des mots de passe sûre.

Activez l’authentification multifacteur sur vos comptes de messagerie, de jeux vidéo, de réseaux sociaux, sur les services de paiement et sur les comptes associés à un numéro de téléphone. Vérifiez également la sécurité de votre compte auprès de votre opérateur et les protections contre les changements de carte SIM. Si vous recevez une invitation à un tournoi, une notification de récompense, un message de vérification de compte ou un appel d’assistance d’une source inconnue, vérifiez l’adresse et l’expéditeur par un moyen indépendant avant de cliquer sur le lien. Prenez également au sérieux les SMS et les appels suspects.

L’incident GamingMonk montre que les données recueillies pour les comptes des communautés d’esport et de jeux vidéo, comme les numéros de téléphone et les dates de naissance, peuvent présenter des risques durables. Évitez de reprendre les mêmes schémas de mots de passe et de noms d’utilisateur sur vos comptes de tournois, de jeux et de réseaux sociaux. Fermez les comptes inutilisés ou protégez chacun d’eux avec un mot de passe unique. Maintenez les alertes de sécurité actives sur les comptes associés à un numéro de téléphone et vérifiez régulièrement les options de récupération.

Pour les prestataires de services, la principale leçon est de veiller non seulement à la sécurité des mots de passe, mais aussi à limiter la collecte de données personnelles superflues. Les numéros de téléphone et les dates de naissance ne devraient pas être conservés s’ils ne sont pas réellement nécessaires. Lorsqu’ils le sont, les contrôles d’accès, la journalisation des audits et les durées de conservation des données doivent être gérés avec rigueur. Des méthodes robustes doivent être utilisées pour stocker les mots de passe, et les rapports d’incident doivent indiquer clairement quels champs ont été touchés et pour quels champs aucune exposition n’a été confirmée.

Lors d’une vérification concernant la fuite GamingMonk, le résultat indique si l’adresse e-mail saisie figure dans ce jeu de données confirmé. Si le résultat est positif, l’adresse e-mail, le nom, le nom d’utilisateur, le numéro de téléphone, la date de naissance et l’empreinte bcrypt du mot de passe doivent être considérés comme à risque. Si le résultat est négatif, cela signifie qu’aucune correspondance n’a été trouvée dans ce jeu de données précis; cela ne prouve pas que la personne n’a pas été touchée par d’autres fuites. Le résultat doit être interprété uniquement dans le contexte de l’incident GamingMonk.

La bonne démarche consiste à abandonner définitivement l’ancien mot de passe, à remplacer tous les mots de passe réutilisés, à activer une protection multifacteur sur vos comptes de messagerie et de jeux vidéo, à vérifier les comptes associés à vos numéros de téléphone et à renforcer les options de sécurité des services qui utilisent la date de naissance pour les vérifications. Ne considérez pas le risque comme négligeable au motif que l’incident est ancien ou que la plateforme a changé de propriétaire. Des informations telles que les numéros de téléphone et les dates de naissance peuvent servir à des fraudes ciblées, même des années plus tard.