Fuite de données chez Lanwar

Les mots de passe en clair constituent l’aspect le plus critique de l’incident Lanwar. Lorsqu’un mot de passe est directement lisible, au lieu d’être stocké sous forme d’empreinte de hachage ou sous un format chiffré, un attaquant n’a pas besoin de tenter de le casser. Si le même mot de passe est réutilisé pour une messagerie, des boutiques de jeux, des services de discussion, des forums, des réseaux sociaux ou des comptes de paiement, le risque ne se limite pas au compte Lanwar. L’association de l’adresse e-mail et du nom d’utilisateur peut également servir à rapprocher des profils appartenant à différentes communautés de jeux vidéo.

Le nom complet et l’adresse postale relient l’identité en ligne à des informations de la vie réelle. Ces champs peuvent rendre plus convaincants des messages d’hameçonnage ciblé qui se présentent comme une notification d’activité, une campagne de parrainage, un avis d’expédition ou l’annonce d’un prix remporté lors d’un tournoi. L’adresse postale présente également un risque pour la vie privée des personnes qui participent à des événements de jeux vidéo. L’incident ne doit donc pas être abordé sous le seul angle du changement de mot de passe : la sécurité de la messagerie, la réutilisation des noms d’utilisateur et l’utilisation abusive potentielle des adresses doivent être prises en compte ensemble.

La date vérifiée de la fuite de données de Lanwar doit être consignée comme étant le 28 juillet 2018, et le nombre confirmé d’enregistrements est de 45 120. L’incident doit être considéré dans le contexte de la communauté de LAN parties et d’événements de jeux vidéo. Selon les sources, l’équipe de Lanwar a constaté l’incident, celui-ci a pu s’étendre sur les quelques mois précédents, et l’équipe a contacté les autorités après avoir observé une tentative d’hameçonnage ou d’extorsion en Bitcoin liée aux données. Ces éléments éclairent le contexte des risques, mais ne doivent pas servir à élargir les catégories de données vérifiées.

Les catégories de données vérifiées sont les adresses e-mail, les noms, les mots de passe, les adresses postales et les noms d’utilisateur. Il convient de préciser que les mots de passe sont en clair. Les données de cartes de paiement, les comptes bancaires, les numéros de téléphone, les adresses IP, les dates de naissance, les messages privés, les achats dans les jeux, les pièces d’identité officielles et les données de santé ne font pas partie des champs vérifiés pour cette fiche. Pour informer l’utilisateur avec exactitude sur les risques, l’explication doit respecter ces limites. Si la cause technique de l’incident n’a pas été confirmée, la méthode d’attaque ne doit pas être présentée comme établie.

Les personnes les plus exposées sont celles qui réutilisent sur d’autres comptes le mot de passe de leur compte Lanwar. Dans les communautés de jeux vidéo, un même nom d’utilisateur peut être conservé longtemps et réutilisé sur différentes plateformes. Cette pratique permet plus facilement à un attaquant disposant de l’adresse e-mail et du nom d’utilisateur de relier des profils sur Steam, Discord, des forums, des serveurs de jeux ou des réseaux sociaux. Les mots de passe en clair peuvent également permettre de passer de ces rapprochements à des tentatives de prise de contrôle de comptes.

Les personnes qui assistent aux événements sur place ou communiquent leur adresse lors de l’inscription sont également exposées à un risque pour leur vie privée. Lorsque l’adresse, le nom complet et l’identifiant de joueur sont réunis, de faux messages concernant des billets, une expédition, une récompense, un accord de parrainage ou une mise à jour relative à un événement peuvent paraître plus convaincants. Si une correspondance est trouvée, il ne faut pas considérer un ancien compte créé pour un événement comme insignifiant : lorsque l’ancien mot de passe reste valable ailleurs, le risque persiste aujourd’hui.

Les utilisateurs dont l’adresse e-mail figure dans cette fiche doivent s’assurer que l’ancien mot de passe de leur compte Lanwar n’est plus valable pour aucun autre compte. Si le même mot de passe, ou un mot de passe similaire, a été utilisé sur d’autres services, il faut immédiatement le remplacer par un mot de passe long, unique et difficile à deviner. Les comptes de messagerie, les boutiques de jeux, les services de discussion, les réseaux sociaux et les comptes de paiement doivent notamment être vérifiés en priorité. Si le compte de messagerie est compromis, les mécanismes de réinitialisation des mots de passe peuvent mettre en danger de nombreux autres comptes.

L’authentification multifacteur doit être activée sur tous les comptes importants qui la prennent en charge. À la réception d’une notification d’activité suspecte, d’un message concernant une récompense de tournoi ou une expédition, d’une invitation de sponsor ou d’une demande de vérification de compte, il faut vérifier soigneusement le nom de domaine et l’expéditeur avant de cliquer sur le lien. Les personnes qui ont utilisé un ancien nom d’utilisateur dans différentes communautés de jeux vidéo doivent revoir les paramètres de confidentialité de leurs profils et limiter les adresses ou coordonnées accessibles au public. En cas de connexion inattendue, de message de réinitialisation du mot de passe ou de notification liée à un appareil, il faut mettre fin aux sessions du compte et mettre à jour les informations de récupération.

L’incident Lanwar montre que les communautés de jeux vidéo de petite et moyenne taille peuvent elles aussi être à l’origine de conséquences graves pour la sécurité. Les utilisateurs doivent choisir un mot de passe unique pour chaque compte de jeu, de forum, d’événement, de discussion et de réseau social. Un gestionnaire de mots de passe permet de repérer facilement les mots de passe réutilisés sur d’anciens comptes et de générer un mot de passe robuste distinct pour chaque compte. Les comptes d’événements et de forums qui ne sont plus utilisés doivent être fermés ou isolés au moyen d’un mot de passe unique.

Pour les responsables de communautés et d’événements, la principale leçon est que les mots de passe ne doivent jamais être stockés en clair, quelles que soient les circonstances. Des méthodes de hachage des mots de passe modernes et économiques, des restrictions d’accès, des audits de sécurité réguliers et une information rapide des utilisateurs jouent un rôle essentiel dans la protection de ces données de comptes. Les champs recueillis pour la logistique des événements, comme les adresses postales, ne doivent être conservés que pendant la durée nécessaire. Les utilisateurs doivent être clairement informés de la raison pour laquelle chaque information leur est demandée.

Le résultat d’une recherche dans la fiche Lanwar indique si l’adresse e-mail saisie figure dans ce jeu de données vérifié. Un résultat positif signifie qu’il faut prendre en compte les risques liés au nom et au prénom, au nom d’utilisateur, à l’adresse postale et au mot de passe en clair associés à cette adresse e-mail. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données précis. Il ne prouve pas que la personne n’a pas été concernée par d’autres fuites de données touchant des jeux vidéo, des forums ou des réseaux sociaux.

La bonne démarche consiste à abandonner définitivement l’ancien mot de passe, à le remplacer sur tous les comptes qui l’utilisent, à activer une protection multifacteur sur les comptes de messagerie et de jeux vidéo, à examiner les profils créés avec le même nom d’utilisateur et à se méfier des faux messages ayant pour thème Lanwar ou les événements de jeux vidéo. Cet incident doit être évalué non comme un risque portant sur des données de paiement ou bancaires, mais comme un risque lié aux mots de passe en clair et au rapprochement de profils au sein des communautés de jeux vidéo.