League of Legends Fuite de données

Lorsque les trois catégories de données vérifiées sont examinées ensemble, les principaux risques sont la prise de contrôle de comptes et l’hameçonnage. L’adresse e-mail permet de contacter le joueur; le nom d’utilisateur peut être rapproché de ses identités en jeu et de ses pseudonymes sur d’autres plateformes; le mot de passe, s’il est identique ou similaire à celui utilisé sur d’autres services, pose un problème plus large de sécurité des comptes. Bien qu’il ait été rapporté que les mots de passe étaient protégés par des moyens cryptographiques lors de l’incident de 2012, la présence de mots de passe en clair dans le sous-ensemble apparu en 2018 laisse penser que cette protection a pu être compromise par la suite.

• Adresses e-mail : Elles peuvent servir à envoyer de fausses alertes de sécurité concernant les comptes, de fausses invitations à des tournois, de fausses promesses de récompenses et de faux messages d’assistance.
• Noms d’utilisateur : Ils peuvent être rapprochés de l’identité du joueur, de ses cercles sociaux et de ses profils dans d’autres communautés de jeu.
• Mots de passe : Si le même mot de passe a été utilisé sur d’autres comptes, les comptes de messagerie, de jeu, de réseaux sociaux et de boutiques peuvent être exposés à un risque.
• Valeur du compte de jeu : Les comptes possédant des apparences rares, un niveau de classement élevé, de la monnaie virtuelle ou une valeur de collection peuvent devenir des cibles.
• Ingénierie sociale : Le nom d’utilisateur et l’adresse e-mail peuvent servir à créer des messages qui semblent provenir du cercle d’amis du joueur, ce qui les rend plus convaincants.

La fiche vérifiée de l’index se limite à 339 487 comptes uniques. Le fait que League of Legends ait compté beaucoup plus de joueurs inscrits au moment de l’annonce initiale de l’incident ne signifie pas que toutes les personnes figurant dans cette fiche ou tous les joueurs ont été touchés. Cette fiche doit rester limitée au sous-ensemble qui a circulé en 2018 et qui comprend des adresses e-mail, des noms d’utilisateur et des mots de passe. Cette distinction évite à la fois de présenter un volume trompeur et d’ajouter des champs de données non vérifiés.

Les rapports de l’époque décrivent les données des joueurs de la région européenne, la protection initiale des mots de passe et certains champs de données personnelles supplémentaires présents dans l’incident d’origine. Toutefois, dans la fiche de ce système, les catégories de données se limitent à trois champs : les adresses e-mail, les noms d’utilisateur et les mots de passe. La description ne doit donc pas être élargie comme si des informations de paiement, des données de facturation, des adresses, des numéros de téléphone ou des données d’identification en faisaient partie. Il ne faut pas non plus en conclure qu’un compte League of Legends actuellement actif a été compromis de manière certaine; cette fiche concerne des données exposées par le passé.

Le risque est le plus élevé pour les joueurs qui possédaient un compte League of Legends en 2012 et qui ont ensuite réutilisé le même mot de passe pour leur messagerie, les réseaux sociaux, des boutiques de jeux, des plateformes de streaming ou d’autres comptes de jeu. Même si un ancien mot de passe semble ne plus être utilisé aujourd’hui, des attaquants peuvent l’intégrer à des listes de mots de passe à tester, en essayer des variantes ou l’utiliser dans des procédures de récupération d’anciens comptes. Si le nom d’utilisateur est également identique au pseudonyme du joueur dans d’autres communautés, les possibilités de ciblage augmentent.

Les joueurs dont les comptes ont un niveau élevé, des objets cosmétiques rares, des collections, des récompenses d’événements ou du contenu payant deviennent aussi des cibles pour des motifs financiers. Les comptes de jeu obtenus peuvent être revendus, utilisés dans des événements frauduleux ou détournés pour envoyer de faux liens aux personnes de la liste d’amis. Pour les utilisateurs très visibles, notamment dans l’e-sport, le streaming ou la modération de communautés, le risque ne se limite pas à l’accès au compte : il faut également prendre en compte l’atteinte à la réputation et le ciblage des abonnés.

Si une correspondance avec votre adresse e-mail est trouvée dans cette fiche, commencez par définir un mot de passe unique pour votre compte League of Legends et le compte Riot associé. Changez ensuite le mot de passe de chacun des comptes sur lesquels vous avez utilisé le même ancien mot de passe. Le compte de messagerie est prioritaire, car les liens de récupération des comptes de jeu sont généralement envoyés par e-mail. Vérifiez également les adresses de récupération des comptes, les sessions actives, les notifications de sécurité et les appareils connectés.

1. Utilisez des mots de passe distincts : N’utilisez pas le même mot de passe pour votre compte de jeu, votre messagerie et vos comptes de boutiques.
2. Activez l’authentification multifacteur : Privilégiez l’authentification par application ou par clé de sécurité sur les comptes qui la prennent en charge.
3. Vérifiez les sessions : Si vous constatez une connexion inconnue, un changement de région, une modification du nom d’utilisateur ou une tentative de récupération du compte, prenez des mesures de sécurité.
4. Méfiez-vous des faux messages de récompense : N’ouvrez pas de liens en dehors du site officiel pour obtenir des apparences gratuites, accepter des invitations à des tournois, vérifier un compte ou contester une sanction.
5. Renforcez la sécurité de votre messagerie : Maintenez à jour les adresses de récupération, la vérification par téléphone et les alertes de sécurité.

La sécurité à long terme des comptes de jeu ne se limite pas au choix de mots de passe robustes. Lorsqu’un joueur utilise le même pseudonyme dans différentes communautés, il devient plus facile de relier ses comptes entre eux. Il convient donc de gérer le compte de messagerie principal, les comptes de jeu et les profils auprès des éditeurs et des communautés avec des niveaux de sécurité distincts. Utiliser un gestionnaire de mots de passe, générer des mots de passe longs et uniques pour chaque compte et ne pas réutiliser d’anciens mots de passe sont des mesures de protection fondamentales.

Une stratégie complémentaire pour les plateformes de jeu consiste à réduire la surface d’attaque sans diminuer la valeur du compte. Il faut fermer les anciens comptes inutilisés, maintenir à jour les moyens de récupération, rester prudent même avec les contacts de la liste d’amis et ne pas faire confiance aux fichiers ou aux extensions qui ne proviennent pas du client officiel. Du côté de l’entreprise, la durée de conservation des données des joueurs, les anciens systèmes régionaux, les méthodes de protection des mots de passe et les procédures de notification après une fuite doivent être régulièrement réexaminés.

Une correspondance dans cette fiche indique que l’adresse e-mail ou l’identifiant de compte concerné est lié à des champs vérifiés dans le jeu de données de League of Legends. Ce résultat ne signifie pas que votre compte a été compromis aujourd’hui; il montre toutefois que la combinaison d’adresse e-mail, de nom d’utilisateur et de mot de passe exposée par le passé a pu être testée sur d’autres services. Une correspondance doit donc être considérée comme un avertissement non seulement pour le compte de jeu, mais aussi pour tous les comptes sur lesquels le même mot de passe est utilisé.

Après cette vérification, les mesures les plus appropriées consistent à utiliser des mots de passe distincts pour votre compte de jeu et la messagerie associée, à activer l’authentification multifacteur, à mettre à jour les options de récupération des comptes et à mettre fin aux sessions que vous ne reconnaissez pas. Si vous utilisez le même nom d’utilisateur dans d’autres communautés de jeu, vérifiez également ces profils. Méfiez-vous des faux messages concernant des tournois, des récompenses, l’assistance, des sanctions de compte ou des vérifications de sécurité; lorsqu’une action est nécessaire, rendez-vous sur le site officiel en saisissant vous-même son adresse.