Fuite de données chez MagicDuel

Les types de données observés dans cette fiche sont les adresses e-mail, les adresses IP, les pseudonymes de joueurs et les mots de passe. Il a été estimé que les mots de passe sont stockés au format bcrypt; bien qu’il s’agisse d’une méthode de stockage robuste, les mots de passe faibles réutilisés présentent un risque. Ces catégories ont été évaluées séparément; aucun champ non vérifié relatif aux cartes de paiement, aux comptes bancaires, aux pièces d’identité officielles, aux messages privés, aux dossiers médicaux ou à des informations de profil supplémentaires n’a été ajouté à la liste des catégories de données.

Le rapprochement du pseudonyme d’un joueur et de son adresse e-mail peut relier son identité dans le jeu à son adresse de contact réelle. Une adresse e-mail seule présente un risque de spam et d’hameçonnage; lorsqu’elle est associée à un nom, un numéro de téléphone, une adresse, une adresse IP, une date de naissance ou des informations professionnelles, elle permet à un attaquant de rédiger plus facilement des messages personnalisés. L’évaluation des risques a donc tenu compte non seulement du nombre d’enregistrements, mais aussi de la possibilité d’exploiter les champs ensemble.

Le périmètre vérifié porte sur 138 443 comptes datant d’août 2023. Les champs de données vérifiés ont été conservés, tandis que ceux dont la validation n’était pas finalisée ont été exclus. L’utilisateur est ainsi informé de l’état actuel de la fiche sans être alarmé outre mesure, mais sans que le risque réel soit sous-estimé.

La catégorie Pseudonymes a été utilisée à la place de Noms d’utilisateur, car le champ signalé correspond plus précisément à un nom de joueur ou à un pseudonyme. Les autres incidents portant un nom similaire à celui de cette fiche, s’il y en a, n’ont pas été regroupés en un seul incident de grande ampleur. Le nom de domaine, le nom de l’entreprise et les informations sur le secteur d’activité ont été maintenus dans le contexte exact le plus restreint possible; cela évite également l’ajout de fuites en double ou attribuées à tort.

Les groupes à risque sont les joueurs disposant d’un compte MagicDuel et les personnes utilisant le même pseudonyme dans d’autres jeux. Si vos données correspondent à celles de cette fiche, vous devez prendre en compte non seulement votre compte sur le service concerné, mais aussi les autres comptes utilisant la même adresse e-mail, le même nom d’utilisateur ou des mots de passe construits sur le même modèle.

Dans les communautés de joueurs, l’ingénierie sociale peut prendre la forme de fausses récompenses, de demandes de vérification de compte, d’invitations à des événements ou de messages sur des places de marché. Pour les personnes inscrites avec une adresse e-mail professionnelle, le risque peut dépasser le cadre du compte personnel; les attaquants peuvent exploiter le nom, la fonction, le numéro de téléphone, l’adresse, les achats, l’identifiant de jeu ou les informations du profil professionnel pour envoyer des messages plus convaincants. Vous ne devez donc pas considérer une correspondance comme un problème limité à un seul site.

Si vous êtes concerné, vous devez changer votre mot de passe MagicDuel ainsi que ceux de vos comptes de boutiques de jeux, de courrier électronique, de réseaux sociaux et de messagerie sur lesquels vous utilisez le même mot de passe. Lorsqu’une fiche comporte un champ de mot de passe, il faut modifier le mot de passe de tous les comptes qui utilisent le même; lorsqu’elle n’en comporte pas, l’attention doit porter sur les risques liés aux e-mails, au téléphone et aux fausses notifications. Dans les deux cas, votre compte de courrier électronique doit être protégé par un mot de passe fort et unique.

Au lieu de cliquer sur les liens d’un message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Ne considérez pas comme fiables les messages tels que les codes de vérification reçus par téléphone, les demandes de réinitialisation de mot de passe, les avis d’expédition, les offres d’emploi ou les notifications d’assistance, d’abonnement ou de sécurité sans les avoir vérifiés par un canal indépendant.

En tant que joueur, vous devez utiliser un mot de passe unique pour chaque compte de jeu et de forum, et éviter d’associer inutilement vos pseudonymes en jeu à vos comptes personnels. Faites régulièrement le ménage parmi vos anciens comptes, les numéros de téléphone et les champs d’adresse inutilisés, les noms d’utilisateur réutilisés et les mots de passe construits sur le même modèle. Utilisez un mot de passe unique pour chaque service et activez l’authentification à deux facteurs lorsque cela est possible.

Pour les fournisseurs de services, limiter au strict minimum les données conservées, protéger solidement les mots de passe, surveiller les journaux d’accès, supprimer les champs de profil inutiles et informer les utilisateurs après une fuite constituent des exigences fondamentales. Les faiblesses de sécurité des comptes de jeu peuvent également entraîner la perte d’actifs numériques et nuire à la réputation au sein de la communauté. Dans de tels cas, une communication précise sur le périmètre est aussi importante que la correction technique; des informations exagérées ou incomplètes peuvent conduire l’utilisateur à prendre des mesures inadaptées.

Vous devez d’abord vérifier cette fiche à l’aide de votre adresse e-mail. Si une correspondance est trouvée, considérez que les champs du pseudonyme, de l’adresse IP et du mot de passe peuvent être à risque; modifiez le mot de passe de tous les comptes de jeu qui utilisent le même. L’absence de correspondance n’exclut pas totalement une réutilisation antérieure de mots de passe ni l’utilisation de différentes adresses e-mail associées au même service; vous devez donc aussi examiner séparément vos comptes critiques.

Cette fiche a conservé son statut vérifié; le nombre d’enregistrements et les types de données ont été alignés sur les valeurs vérifiées. Lors de cet ajustement, les champs de données ont conservé leurs catégories canoniques en anglais, la description visible par l’utilisateur a été rédigée en turc sous la forme d’un texte original, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.