Fuite de données chez HeatGames

Cet ensemble de données réunit les adresses e-mail, les adresses IP, les informations de pays ou de localisation géographique et les empreintes de mots de passe. Les adresses e-mail et les empreintes de mots de passe constituent le principal risque de tentatives de compromission de comptes. Le MD5 salé est considéré comme faible au regard des normes actuelles de stockage des mots de passe; les tentatives visant à deviner les mots de passe hors ligne peuvent donc être plus efficaces lorsque ceux-ci sont courts, issus du dictionnaire ou réutilisés. Les adresses IP et les informations de pays peuvent également aider à établir un profil géographique du joueur.

Dans les communautés de joueurs, la même combinaison d’adresse e-mail et de mot de passe peut être réutilisée sur de nombreux services : forums, clients de jeu, places de marché, applications de discussion ou profils sur les réseaux sociaux. Si le mot de passe d’un compte HeatGames est également utilisé pour d’autres comptes, le risque dépasse donc le cadre d’un seul site de jeux. Des attaquants peuvent envoyer de faux messages sous prétexte de récupération de compte de jeu, d’objets gratuits, d’invitations à des tournois, de serveurs privés, d’outils de triche, d’accès à une bêta ou de vérification de compte. Les informations d’adresse IP et de pays peuvent donner à ces messages une apparence locale ou propre à la communauté de joueurs.

Le nombre vérifié d’adresses e-mail uniques est de 647 896, et l’incident remonte au 12 juin 2021. Le nombre de lignes associées à HeatGames peut varier dans des ensembles de données plus vastes; cette différence ne signifie toutefois pas que le nombre d’utilisateurs uniques est plus élevé. Les catégories de données sont les adresses e-mail, les localisations géographiques, les adresses IP et les mots de passe. Ces derniers doivent être considérés comme des empreintes au format MD5 salé ou vBulletin, et non comme des mots de passe en clair.

Les champs non vérifiés doivent être explicitement exclus du périmètre de cette fiche. Les noms d’utilisateur, numéros de téléphone, adresses postales, cartes de paiement, historiques d’achats, messages privés, identifiants d’appareil et documents d’identité officiels ne font pas partie de ces catégories de données. Le champ de localisation géographique ne correspond pas à une adresse complète; il doit principalement être interprété comme une indication de pays ou une information régionale similaire. La description ne doit pas confondre le nombre de lignes avec le nombre d’adresses e-mail uniques et doit expliquer clairement, mais sans exagération, le risque lié à la faiblesse des empreintes de mots de passe.

Les utilisateurs les plus exposés sont ceux qui réutilisent l’adresse e-mail et le mot de passe de leur compte HeatGames sur d’autres jeux, forums, réseaux sociaux ou comptes de messagerie. Si le même mot de passe est utilisé sur différents services, des attaquants peuvent exploiter ces informations pour effectuer des tentatives de connexion automatisées. Comme les membres des communautés de joueurs conservent souvent le même pseudonyme et la même adresse e-mail pendant longtemps, même une ancienne fuite peut servir à accéder à des comptes actuels.

Les utilisateurs dont l’adresse IP et le pays figurent dans les données peuvent être ciblés par de fausses campagnes liées aux jeux ou des invitations communautaires adaptées à leur région. Les messages qui semblent proposer des outils de triche, de la monnaie gratuite en jeu, des objets spéciaux, un accès à des serveurs ou des vérifications de la sécurité des comptes présentent un risque particulier. Puisque ces données ne contiennent ni informations de paiement ni adresses postales, le risque principal n’est pas la divulgation de données financières; il réside surtout dans la prise de contrôle de comptes due à la réutilisation des mots de passe, la perte de biens virtuels en jeu, le rapprochement avec des profils sur les réseaux sociaux et l’hameçonnage ciblé.

Les utilisateurs dont l’adresse e-mail figure dans cet ensemble de données ne doivent plus considérer le mot de passe utilisé sur HeatGames comme sûr. Si le même mot de passe, ou un mot de passe similaire, a été utilisé pour d’autres comptes, il faut le remplacer sur chacun d’eux par un mot de passe unique et robuste. La priorité doit être donnée aux comptes de messagerie, aux plateformes de jeux, aux places de marché de jeux, aux forums, aux applications de discussion et aux comptes de réseaux sociaux. L’authentification à deux facteurs doit être activée sur les comptes essentiels et, si possible, une authentification via une application ou une clé de sécurité matérielle doit être privilégiée.

Il faut éviter les liens contenus dans des messages qui semblent proposer des objets gratuits, des serveurs privés, un accès à une bêta, une vérification de compte, des invitations à des tournois ou des alertes de sécurité. L’accès aux comptes doit se faire à partir du nom de domaine connu ou de l’application officielle. Il ne faut pas télécharger d’outils de jeu inconnus, de fichiers de triche ou de packs de modifications. Si des messages inattendus de réinitialisation de mot de passe, des alertes concernant de nouveaux appareils ou des sessions non reconnues apparaissent dans le compte de messagerie, il faut fermer les sessions et vérifier les options de récupération.

À long terme, des mots de passe uniques, des alias d’adresse e-mail distincts et l’authentification à deux facteurs constituent une protection de base pour les comptes de jeu. Même si des comptes créés sur d’anciens sites de jeux ont été oubliés, la réutilisation de leurs mots de passe peut mettre d’autres comptes en danger des années plus tard. Les utilisateurs doivent régulièrement passer en revue leurs anciens comptes de jeu, de forum et de communauté, fermer les comptes inutilisés et limiter la possibilité de relier facilement leurs comptes sur différentes plateformes à partir d’un même nom d’utilisateur.

Pour les fournisseurs de services, cet incident illustre le risque à long terme associé à la faiblesse des empreintes de mots de passe sur les anciens sites de jeux. Les anciennes méthodes comme le MD5 salé ne répondent pas aux exigences modernes de stockage des mots de passe. Les comptes des communautés de joueurs pouvant être associés à des biens virtuels en jeu ayant une valeur monétaire, il est important d’utiliser un hachage robuste des mots de passe, de suivre les sessions, de proposer l’authentification à deux facteurs, de réinitialiser les mots de passe après une fuite et de supprimer les anciennes données de manière sécurisée. Même sur des sites inactifs, les anciennes bases de données ne doivent pas être laissées sans protection.

Si votre adresse e-mail figure dans cet ensemble de données, commencez par identifier tous les comptes qui utilisent le même mot de passe. Votre compte de messagerie et vos principaux comptes de jeu sont prioritaires. Examinez ensuite avec prudence les messages provenant des communautés de joueurs qui proposent des objets gratuits, une vérification de compte, des outils de triche, des serveurs privés ou des tournois. Même si un message mentionne correctement votre pays ou un ancien compte de jeu, cela ne signifie pas qu’il est digne de confiance.

Le principal risque lié à la fuite de HeatGames est la circulation d’adresses e-mail et d’empreintes de mots de passe obtenues par un hachage faible, accompagnées d’informations d’adresse IP et de localisation. Les mesures appropriées consistent à cesser de réutiliser les mots de passe, à activer l’authentification à deux facteurs, à vérifier les dernières connexions aux comptes de jeu et à éviter les liens frauduleux liés aux jeux. Cet ensemble de données ne doit pas être interprété comme une fuite de cartes de paiement ou d’adresses postales; les mesures de protection doivent se fonder sur les données dont la présence est vérifiée : adresses e-mail, adresses IP, informations de localisation et empreintes de mots de passe.