Fuite de données de Minehut en 2019

Dans cet incident, les catégories de données vérifiées sont les adresses e-mail et les mots de passe. Le fait que le champ du mot de passe soit signalé comme un hachage bcrypt indique une méthode de stockage plus protectrice que le stockage en clair; cela n'élimine toutefois pas entièrement les risques pour les utilisateurs. Les mots de passe courts, prévisibles ou réutilisés sur d'autres services peuvent finir par être cassés ou utilisés dans des attaques visant à deviner les mots de passe. La présence de hachages de mots de passe aux côtés des adresses e-mail permet à un attaquant de cibler d'autres comptes de jeux, de forums, de réseaux sociaux et de messagerie associés à la même adresse.

Les comptes Minehut servent à héberger des serveurs Minecraft, à gérer des communautés de joueurs et à rester en contact avec des amis rencontrés dans le jeu. La fuite ne concerne donc pas simplement un ancien compte sur un site web. Les propriétaires de serveurs et les joueurs actifs ont pu utiliser la même adresse e-mail sur d'autres services Minecraft, dans des communautés Discord ou sur des forums. L'adresse e-mail seule peut suffire à mener des tentatives d'hameçonnage; disposer également du champ du mot de passe pourrait permettre à un attaquant de tester des variantes de mots de passe utilisées auparavant. La priorité est donc de déterminer si vous avez réutilisé le même mot de passe ailleurs.

La date retenue pour l'incident vérifié est le 17 mai 2019, celle de l'ajout de la fiche le 17 septembre 2019 et celle de la modification de la source le 17 novembre 2019. Le nombre d'adresses e-mail uniques concernées est de 396 533. Les catégories de données se limitent aux adresses e-mail et aux mots de passe. Le champ du mot de passe doit être compris comme contenant des hachages bcrypt. Pour cette fiche, les noms d'utilisateur, les adresses IP, les dates de naissance, les adresses postales, les informations de paiement, les licences de jeu Minecraft, les fichiers de serveurs et le contenu des messages privés ne font pas partie des catégories de données vérifiées.

Il est important de délimiter ainsi le périmètre. La présence d'un utilisateur dans la fiche Minehut ne prouve pas que son compte Minecraft ou Microsoft a été directement compromis. Il ne faut pas non plus affirmer que tous les mots de passe ont été exposés en clair. Le risque tient à la possibilité que les adresses e-mail et les hachages de mots de passe présents dans la sauvegarde compromise soient utilisés pour tenter d'accéder à d'autres comptes. La bonne démarche consiste à choisir des mots de passe uniques pour Minehut et pour les autres comptes utilisant des variantes du même mot de passe, à activer l'authentification multifacteur et à examiner les notifications de connexion suspecte.

Les personnes les plus exposées au risque sont celles qui ont créé un serveur sur Minehut, géré un environnement de jeu pour des groupes d'amis ou utilisé la même adresse e-mail sur d'autres services Minecraft. Les propriétaires de serveurs, les modérateurs et les responsables de communautés peuvent être plus vulnérables aux messages ciblés : les attaquants peuvent chercher à leur faire suivre des instructions sous prétexte d'un ancien compte Minehut, d'un renouvellement de serveur, d'un accès au panneau de gestion ou d'une récupération de fichiers. Le lien entre l'adresse e-mail et les communautés de joueurs augmente le risque de rapprochement entre les pseudonymes et les comptes d'une personne sur différentes plateformes.

Les utilisateurs qui réutilisent leurs mots de passe constituent le deuxième groupe à risque. Si le mot de passe du compte Minehut est également valide ailleurs, par exemple sur des comptes de messagerie, des plateformes de jeux, des forums, des réseaux sociaux ou des panneaux de gestion de serveurs, un attaquant peut tenter d'obtenir des accès plus étendus à partir d'une seule fuite ancienne. Si vous avez créé votre compte à un jeune âge et conservé pendant des années des variantes du même mot de passe, vous devez faire preuve de prudence à cet égard. Même en l'absence de données d'inscription, de paiement ou d'identité, l'association d'une adresse e-mail et d'un mot de passe reste importante pour la sécurité des comptes.

Si vous trouvez une correspondance dans cette fiche, vous devez désormais considérer comme non fiable le mot de passe que vous avez pu utiliser sur votre compte Minehut. Si vous utilisez un mot de passe identique ou similaire sur d'autres services, choisissez un mot de passe unique pour chaque compte. Vérifiez en priorité vos comptes de messagerie, vos plateformes de jeux, vos comptes dans les communautés Minecraft, sur Discord et sur les services de communication similaires, ainsi que les services impliquant des paiements. Activez l'authentification à deux facteurs sur tous les comptes qui la prennent en charge, fermez les sessions actives et maintenez à jour votre adresse e-mail et votre numéro de téléphone de récupération.

Faites preuve de prudence face aux liens contenus dans les messages portant sur Minehut ou sur les serveurs Minecraft. Les messages qui semblent concerner des panneaux de gestion de serveurs, des améliorations gratuites, la récupération de fichiers, la vérification de comptes ou des alertes de sécurité peuvent être frauduleux. Accédez aux pages de connexion en saisissant vous-même l'adresse connue, plutôt qu'en suivant un lien reçu par e-mail. Si vous avez utilisé le même mot de passe pour votre compte de messagerie par le passé, donnez la priorité à sa sécurité, car il sert de canal de récupération pour vos autres comptes. Si vous constatez une connexion suspecte, une réinitialisation de mot de passe inattendue ou une notification concernant un appareil inconnu, fermez les sessions concernées.

À long terme, l'utilisation de mots de passe uniques pour les comptes de jeux, de forums et de gestion de serveurs constitue la protection de base. Un gestionnaire de mots de passe facilite la création de mots de passe différents et robustes pour chaque service. Les communautés Minecraft laissent des traces numériques durables, notamment du fait de la présence de jeunes utilisateurs et de pseudonymes conservés pendant de nombreuses années; il ne faut donc pas sous-estimer la sécurité des anciens comptes de jeux. Passez en revue vos comptes sur Minehut ou sur des services similaires que vous n'utilisez plus, réduisez les données personnelles qui y figurent et fermez les sessions inutiles.

Une vigilance accrue s'impose si vous gérez des serveurs. Le panneau de gestion du serveur, les comptes liés aux plugins, les comptes de gestion des communautés et les adresses e-mail associées doivent être protégés par des mots de passe distincts. Une ancienne fuite sur un site web peut mettre en péril les droits de gestion des serveurs si le même mot de passe a été réutilisé. Éviter les réponses prévisibles aux questions de sécurité, maintenir l'authentification multifacteur activée et protéger le compte de messagerie comme point central de la sécurité permettent de réduire les risques à long terme. La fiche Minehut montre que même les services de jeux qui semblent modestes peuvent avoir un effet réel sur la sécurité des comptes.

Une correspondance dans cette fiche indique que l'adresse e-mail figure parmi les adresses vérifiées dans le jeu de données Minehut. Elle ne prouve pas que votre licence de jeu Minecraft, vos informations de paiement, votre date de naissance ou vos messages privés se trouvent dans ce jeu de données. Les champs vérifiés sont les adresses e-mail et les hachages de mots de passe bcrypt. En tenant compte de cette limite, vous devez avant tout cesser de réutiliser vos mots de passe et renforcer la sécurité de votre compte de messagerie.

La première étape consiste à repérer les comptes utilisant la même adresse e-mail et des variantes similaires de mots de passe. Choisissez ensuite des mots de passe uniques pour votre compte de messagerie, vos plateformes de jeux, vos comptes de gestion de serveurs et vos comptes dans les communautés en ligne. Activez l'authentification à deux facteurs, vérifiez les sessions actives et contrôlez l'authenticité des messages suspects par un canal distinct. Cette fiche présente les champs de données vérifiés sans exagération; son objectif est de vous proposer, dans le contexte de la fuite Minehut, des actions concrètes pour la sécurité de vos comptes, la gestion de vos mots de passe et la protection de vos comptes au sein des communautés de joueurs.