Fuite de données de Minefield en 2015

Les catégories de données confirmées dans cet incident sont les dates de naissance, les adresses e-mail, les adresses IP, les mots de passe, les noms d’utilisateur et les journaux d’activité du site. L’adresse e-mail et le nom d’utilisateur facilitent le rapprochement de l’identité d’un joueur entre différents forums, serveurs de jeu et comptes sur les réseaux sociaux. La date de naissance peut être utilisée dans des questions de récupération de compte ou dans des messages frauduleux adaptés à l’âge de la personne. L’adresse IP peut fournir des indications sur la localisation approximative de la connexion et le fournisseur d’accès à Internet. L’activité du site peut apporter des indices supplémentaires sur le comportement de l’utilisateur sur le forum, l’historique de son compte ou sa visibilité au sein de la communauté.

Le risque lié aux mots de passe est l’aspect le plus critique de cette fiche. Même si les mots de passe sont stockés sous forme de hachages salés, le risque de cassage est élevé en raison d’une mise en œuvre peu robuste. Si un utilisateur a réutilisé le même mot de passe pour sa messagerie, des plateformes de jeu, des réseaux sociaux, des forums ou des comptes d’achat en ligne, cette ancienne fuite pourrait affecter la sécurité de ses comptes actuels. Comme il est courant dans les communautés Minecraft de conserver le même pseudonyme pendant des années, les attaquants peuvent préparer des messages personnalisés à partir de l’ancien nom d’utilisateur. Cette combinaison constitue un point de départ précieux pour les attaques visant à deviner les mots de passe comme pour l’hameçonnage ciblé.

La date retenue pour l’incident vérifié est le 28 juin 2015, et celle de l’ajout de la fiche et du changement de source est le 9 mars 2016. Le nombre total de comptes vérifiés est de 188 343. Minefield doit être classé comme une communauté française de serveur et de forum Minecraft, et non comme un site généraliste de vente au détail. Les champs de données se limitent à la date de naissance, à l’adresse e-mail, à l’adresse IP, au mot de passe, au nom d’utilisateur et à l’activité du site. La présence de données de carte de paiement, d’adresses postales, de numéros de téléphone, de noms réels, de clés de licence de jeu ou de contenus de messages privés n’a pas été vérifiée pour cette fiche.

Bien comprendre ce périmètre est important pour choisir les mesures à prendre. Cette fiche ne prouve pas que le compte de jeu Minecraft ou le compte Microsoft a été directement compromis; l’incident concerne l’inscription au forum Minefield. De même, il ne faut pas affirmer que tous les mots de passe ont été divulgués en clair. L’évaluation du risque repose sur la possibilité de casser les hachages salés en raison d’une mise en œuvre peu robuste et sur la probabilité que les utilisateurs aient réutilisé le même mot de passe sur d’autres services. Respecter ces limites permet de vous orienter vers des mesures de sécurité concrètes, sans vous induire en erreur par des affirmations superflues.

Le groupe le plus exposé comprend les personnes qui ont créé un compte sur le serveur ou le forum Minefield et qui ont également utilisé la même adresse e-mail et le même nom d’utilisateur dans d’autres communautés Minecraft. Les anciens comptes de joueurs sont souvent oubliés; pourtant, l’adresse e-mail et la structure du mot de passe utilisés peuvent ensuite être repris sur d’autres services. La date de naissance et les informations sur l’activité du site renforcent particulièrement le risque de profilage pour les comptes créés à un jeune âge. Les joueurs qui partagent des cartes, des serveurs, des mods ou des publications sur des forums sous le même nom d’utilisateur peuvent être plus facilement identifiés d’une communauté à l’autre.

Les administrateurs de serveurs, les modérateurs, les membres actifs du forum et les utilisateurs qui publient sous des pseudonymes connus peuvent être davantage exposés à des messages ciblés. Les attaquants peuvent demander des informations personnelles ou un nouveau mot de passe sous prétexte d’un ancien compte de forum, d’une annonce de serveur, d’un fichier de carte, d’un rôle d’autorité dans le jeu ou d’une vérification de compte. Les adresses IP et les journaux d’activité du site peuvent contribuer à rendre ces messages plus convaincants. Si une correspondance est trouvée pour vos données, vous devez donc examiner non seulement votre ancien compte Minefield, mais aussi l’ensemble de l’écosystème de jeu associé au même pseudonyme et à la même adresse e-mail.

Si vos identifiants figurent dans cette fiche, vous devez désormais considérer le mot de passe utilisé pour Minefield comme non fiable. Si vous utilisez le même mot de passe, ou un mot de passe similaire, sur d’autres comptes, choisissez un mot de passe fort et unique pour chaque service. Donnez la priorité aux comptes de messagerie, aux plateformes de jeu, aux forums, aux réseaux sociaux et aux comptes impliquant des paiements. Activez l’authentification multifacteur sur les services qui la prennent en charge, fermez les sessions actives et vérifiez l’adresse e-mail ou le numéro de téléphone de récupération. Plutôt que de continuer à utiliser l’ancien mot de passe en le modifiant légèrement, privilégiez un mot de passe entièrement différent.

Examinez attentivement les messages portant sur un serveur Minecraft, un ancien compte de forum, un fichier de carte, des avantages gratuits dans le jeu ou la sécurité des comptes, afin d’évaluer le risque d’hameçonnage. Les messages contenant de véritables noms d’utilisateur, d’anciennes adresses e-mail ou des dates de naissance ne doivent pas être considérés comme fiables pour autant. Vérifiez les liens de téléchargement de fichiers, les fausses pages de connexion et les demandes de vérification de compte par un autre canal. Comme les adresses IP et les informations sur l’activité du site sont également disponibles, examinez de plus près les alertes de session inattendues ou les tentatives de connexion à vos comptes depuis certaines régions.

À long terme, utiliser une adresse e-mail différente de celle de votre messagerie principale pour vos comptes de jeu et de forum constitue une bonne protection. Conserver le même nom d’utilisateur sur toutes les plateformes est pratique, mais augmente le risque de rapprochement entre vos profils. Vous devriez examiner régulièrement vos anciens forums Minecraft, comptes de serveur et profils de communautés de jeu. Réduire les informations personnelles présentes sur les comptes que vous n’utilisez plus, limiter la visibilité des profils ou envisager la suppression des comptes permet de réduire les conséquences de ce risque.

La sécurité des mots de passe doit devenir une habitude durable. La compromission de hachages salés présente un risque moindre pour les personnes qui utilisent des mots de passe forts et uniques; à l’inverse, les mots de passe faibles ou réutilisés peuvent poser problème même des années plus tard. Un gestionnaire de mots de passe facilite la création de mots de passe différents pour chaque compte de jeu et de forum. Éviter les informations prévisibles, comme les dates de naissance, dans les questions de sécurité rend plus difficile l’utilisation de données d’anciens comptes de jeu dans les procédures d’authentification. Ainsi, une ancienne fuite de forum a un impact plus limité sur votre identité numérique actuelle.

Une correspondance dans cette fiche indique que l’adresse e-mail ou le compte associé figure parmi les comptes de membres vérifiés du jeu de données Minefield. Elle ne prouve pas que des informations de paiement, un numéro de téléphone, une adresse postale ou une licence du jeu Minecraft sont présents dans ce jeu de données. Les champs vérifiés comprennent la date de naissance, l’adresse e-mail, l’adresse IP, le mot de passe, le nom d’utilisateur et l’activité du site. Vous devez bien comprendre cette limite pour cesser de réutiliser vos mots de passe et donner la priorité aux comptes de communautés de jeu ainsi qu’à votre compte de messagerie.

L’ordre des mesures pratiques est clair : commencez par identifier les comptes de jeu, de forum et de réseaux sociaux qui utilisent la même adresse e-mail et des mots de passe de structure similaire; adoptez ensuite des mots de passe uniques, en commençant par les comptes critiques. Activez l’authentification à deux facteurs, fermez les anciennes sessions et examinez les alertes de connexion inattendues. Considérez avec méfiance les anciens messages de communautés Minecraft, les liens vers des fichiers et les invitations à rejoindre des serveurs. Cette fiche présente sans exagération les champs de données vérifiés et vous propose une marche à suivre concrète pour sécuriser vos mots de passe, rester vigilant face à l’hameçonnage et faire le ménage dans vos anciens comptes de jeu.