Fuite de données chez Light's Hope

Les données divulguées lors de cet incident ne se limitent pas aux informations de connexion. L'association d'une adresse e-mail et d'un nom d'utilisateur permet aux attaquants de retrouver plus facilement une personne sur d'autres jeux, forums ou comptes de réseaux sociaux où elle utilise le même pseudonyme. La date de naissance est un renseignement personnel qui pourrait être exploité dans des questions de réinitialisation de mot de passe ou lors de faux échanges avec un service d'assistance. L'adresse IP et les informations de localisation géographique peuvent indiquer la région approximative de l'utilisateur et ses habitudes de connexion; ces informations ne constituent pas, à elles seules, une preuve certaine de son identité, mais leur rapprochement avec d'autres données augmente le risque de profilage. La présence de messages privés pose un risque pour la vie privée, en plus du risque technique : des tiers peuvent utiliser à mauvais escient les échanges entre joueurs, les relations nouées dans le jeu, les différends ou les indices renvoyant à d'autres plateformes. Le fait que les mots de passe soient stockés avec Bcrypt ne signifie pas qu'ils sont en clair, mais le risque d'attaques hors ligne contre des mots de passe faibles ou réutilisés ne doit pas être négligé.

Le périmètre vérifié se limite aux données des membres du forum Light's Hope. Cet incident ne doit pas être considéré comme une fuite de la base de données des comptes officiels de World of Warcraft, de Blizzard ou de Battle.net; les informations vérifiées dont nous disposons concernent la communauté Light's Hope et les comptes de son forum. La description technique relayée dans la presse indique qu'un compte ayant accès à l'espace d'administration du forum a été compromis, puis que les données des utilisateurs du forum ont été extraites. Il ne faut donc pas en conclure que cette fiche comprend des informations de carte de paiement, des numéros de documents d'identité officiels, des adresses postales, des numéros de téléphone ou des données bancaires. De même, les personnages du jeu, les objets en jeu, les abonnements officiels et l'historique des paiements ne font pas partie des catégories de données dont la divulgation est vérifiée. Le nombre de comptes touchés, 30 484, correspond au nombre de comptes d'utilisateurs distincts; les catégories de données recensées sont les adresses e-mail, les noms d'utilisateur, les dates de naissance, les localisations géographiques, les adresses IP, les empreintes de mots de passe et les en-têtes de messages privés.

Le risque est le plus élevé pour les personnes qui utilisent dans d'autres communautés de joueurs l'adresse e-mail ou le nom d'utilisateur employés sur le forum Light's Hope. Si un même mot de passe est réutilisé à plusieurs endroits, le stockage sécurisé du mot de passe du forum ne suffit pas à assurer une protection adéquate; après une fuite, les attaquants peuvent cibler d'autres comptes utilisant la même adresse e-mail en essayant des mots de passe similaires. Les utilisateurs dont les messages privés contiennent des liens ou des éléments permettant de les relier à Discord, à une adresse e-mail, à des noms utilisés en jeu, à des noms de personnages ou à des cercles d'amis peuvent être exposés à du harcèlement ciblé, à de faux messages d'assistance ou à des escroqueries. Dans les anciennes communautés de serveurs privés, les pseudonymes sont parfois conservés pendant des années, ce qui permet de relier d'anciennes données de forum à de nouveaux comptes. Les dates de naissance et les informations de localisation géographique présentent également des risques supplémentaires pour la vie privée, en particulier pour les jeunes utilisateurs, les éditeurs, les responsables de communauté et les joueurs qui utilisent le même pseudonyme dans des espaces publics. Cette fiche doit être traitée avec précaution en raison des messages privés et des dates de naissance qu'elle contient, même si elle concerne un forum de jeu de taille modeste.

Si le mot de passe utilisé sur le forum Light's Hope est encore valable sur un autre compte, remplacez-le immédiatement par un mot de passe long et unique. Examinez individuellement les comptes de jeu liés à la même adresse e-mail, les comptes de réseaux sociaux, les services de messagerie et les anciens comptes de forum. La première mesure à privilégier consiste à utiliser un mot de passe distinct pour chaque compte lors du renouvellement des mots de passe et à activer l'authentification à deux facteurs partout où elle est disponible. Méfiez-vous des messages reçus dans votre boîte e-mail qui semblent provenir de Light's Hope, d'anciens serveurs de jeu, de l'équipe d'assistance du forum ou d'un responsable de communauté; les noms d'utilisateur, les dates de naissance ou les informations IP divulgués peuvent être utilisés pour rendre ces messages plus convaincants. Si des informations concernant d'autres personnes ont été partagées dans des messages privés, il convient également de les informer brièvement et clairement de la situation. Si vous constatez dans l'historique d'un compte des sessions inhabituelles, des appareils inconnus, des e-mails de réinitialisation de mot de passe ou des demandes d'ajout à une liste d'amis inattendues, mettez fin aux sessions du compte concerné et réinitialisez son mot de passe.

Cette fuite montre que les comptes créés dans d'anciennes communautés de joueurs peuvent continuer à présenter un risque, même des années plus tard. À long terme, conservez un mot de passe unique pour chaque compte de forum, de jeu et de communauté; gérez vos mots de passe de manière à ce qu'ils soient faciles à retenir, mais difficiles à deviner. Si possible, utilisez un gestionnaire de mots de passe pour repérer les anciens comptes sur lesquels des mots de passe sont réutilisés. Employer partout le même pseudonyme peut faciliter votre reconnaissance au sein d'une communauté, mais permet aussi de relier plus facilement des informations relevant de votre vie privée; les utilisateurs qui échangent des messages privés, diffusent du contenu en direct sous une identité publique ou possèdent des comptes de réseaux sociaux doivent notamment choisir en connaissance de cause la façon dont ils utilisent leur pseudonyme. La divulgation d'informations personnelles permanentes, comme la date de naissance, est irréversible; il est donc préférable de ne pas renseigner de données réelles dans les champs personnels facultatifs lors de la création d'un compte. Gardez également à l'esprit que les informations partagées par messages privés sur les forums peuvent constituer une trace permanente.

Si vous possédez un compte sur le forum Light's Hope ou si vous avez pu utiliser la même adresse e-mail au sein de cette communauté, vérifiez si vous êtes concerné par cette fiche. Si une correspondance est trouvée, la priorité est d'attribuer des mots de passe distincts à tous les comptes sur lesquels le mot de passe du forum a été réutilisé par le passé. Le compte de messagerie jouant un rôle central dans la sécurité de vos comptes, assurez-vous d'abord que son mot de passe est unique et que l'authentification à deux facteurs est activée. Passez ensuite en revue les anciens comptes de jeu, de forum, de messagerie et de réseaux sociaux créés avec la même adresse e-mail. Même en l'absence de correspondance, vérifiez si les mots de passe utilisés à cette époque ont été réutilisés dans d'autres anciennes communautés. Il n'a pas été vérifié que l'incident de Light's Hope ait entraîné une fuite de données de paiement ou de comptes officiels du jeu; il présente toutefois un risque réel pour les utilisateurs en raison de l'association des adresses e-mail, des noms d'utilisateur, des adresses IP, des dates de naissance, des messages privés et des empreintes de mots de passe. La conduite la plus appropriée consiste donc à utiliser des mots de passe distincts, à faire preuve de prudence face aux messages suspects et à examiner régulièrement les anciens comptes communautaires.