Fuite de données chez Mortal Online

Les types de données vérifiés dans les enregistrements de Mortal Online sont les adresses e-mail, les noms complets, les mots de passe, les adresses physiques et les noms d'utilisateur. L'adresse e-mail et le nom d'utilisateur peuvent aider à établir un lien entre le joueur et ses comptes sur d'autres forums, jeux, plateformes de streaming ou réseaux sociaux. Le nom complet et l'adresse physique peuvent rendre plus convaincants de faux messages du service client ou de vérification de la propriété d'un compte. Le risque ne se limite donc pas à la compromission du compte de jeu.

Le champ du mot de passe est associé à un format d'empreinte MD5 sans sel : les mots de passe faibles ou réutilisés présentent donc un risque plus élevé. Même lorsqu'un mot de passe est robuste, le fait qu'il reste valide sur d'autres services offre aux attaquants la possibilité de l'y tester. Les joueurs utilisent souvent le même nom d'utilisateur sur les forums, les boutiques de jeux, les comptes de streaming et les réseaux sociaux; cette pratique augmente le risque de rapprochement des profils. La connaissance de l'adresse physique peut aussi servir d'argument supplémentaire pour rendre crédibles de faux messages de confirmation de livraison ou de sécurité.

• L'adresse e-mail et le nom d'utilisateur peuvent être rapprochés d'autres comptes de jeu.
• La présence d'empreintes de mots de passe accroît le risque que les mots de passe faibles soient retrouvés.
• Le prénom, le nom et l'adresse peuvent rendre de faux messages d'assistance plus convaincants.
• Si le même mot de passe a été réutilisé, des comptes sans lien avec le jeu peuvent aussi être affectés.

Cette fiche se limite au nom Mortal Online, au domaine mortalonline.com, à la date du 17 juin 2018, aux 606 637 comptes concernés et aux cinq catégories de données vérifiées. Lors de la première mise en circulation des données, un fichier plus petit a été mentionné. Par la suite, la présence d'empreintes MD5 de mots de passe sans sel, de noms, de noms d'utilisateur et d'adresses physiques, en plus des adresses e-mail, a été vérifiée dans un fichier plus complet. Le nombre d'enregistrements et les champs de données retenus reposent donc sur ce fichier plus complet.

Les données de carte de paiement, les informations bancaires, les dates de naissance, les numéros de téléphone, les messages privés, les objets en jeu, les listes de personnages et les pièces d'identité n'ont pas été ajoutés aux catégories de données vérifiées dans cette fiche. Les autres jeux, forums ou inscriptions à des serveurs portant un nom similaire à Mortal Online ne sont pas inclus dans ce document. Le contrôle des doublons a été effectué à partir du nom de la marque, du nom de domaine, de la date, du nombre d'enregistrements et des catégories de données. Cette approche présente le risque réel pour l'utilisateur tout en évitant de présenter des champs non vérifiés comme des informations certaines.

Le principal groupe à risque est constitué des joueurs qui possédaient un compte Mortal Online avant 2018 et utilisaient également le même nom d'utilisateur ou le même mot de passe sur d'autres services de jeu. L'association de l'adresse e-mail et du nom d'utilisateur peut permettre un rapprochement avec les profils du joueur sur des forums, des boutiques de jeux, des comptes de streaming ou des réseaux sociaux. Si l'adresse physique et le nom réel sont également disponibles, les faux messages de récupération de compte ou d'assistance peuvent être davantage personnalisés.

Les personnes qui utilisent la même adresse e-mail depuis longtemps, ne changent pas leurs anciens mots de passe de jeu, emploient le même nom d'utilisateur sur les forums de jeux et n'ont pas activé l'authentification multifacteur sur leurs comptes de jeu doivent redoubler de vigilance. Du côté professionnel, les communautés de joueurs, les équipes des éditeurs et les utilisateurs qui participent à des transactions en jeu peuvent également être ciblés. Les attaquants peuvent utiliser d'anciennes données de jeu comme informations complémentaires lorsqu'ils tentent d'accéder à des comptes de boutiques ou à des comptes de messagerie actuels.

• Les joueurs qui utilisent d'anciens mots de passe sur leur compte Mortal Online
• Les personnes qui utilisent le même nom d'utilisateur sur d'autres comptes de jeu et de forum
• Les utilisateurs qui emploient la même adresse e-mail pour leurs comptes de boutiques de jeux et de réseaux sociaux
• Les personnes dont l'adresse physique et le nom réel correspondent à leur ancien profil de jeu

Si vous voyez un résultat concernant Mortal Online, vous devez d'abord cesser définitivement d'utiliser l'ancien mot de passe de ce compte et choisir un nouveau mot de passe unique pour chacun des comptes sur lesquels vous l'aviez réutilisé. Vérifiez en priorité vos comptes de messagerie, de boutiques de jeux, de plateformes de streaming, de réseaux sociaux, de services de paiement et de services cloud. Une légère variante du mot de passe n'est pas considérée comme sûre; privilégiez un mot de passe long et distinct pour chaque service.

Vérifiez par un canal indépendant les liens reçus au nom du compte de jeu ou de l'équipe d'assistance. Examinez attentivement les alertes de connexion suspecte, les messages de réinitialisation de mot de passe, les offres de transaction sur des comptes de jeu et les faux messages de remboursement. Activez l'authentification multifacteur sur les comptes de jeu et de messagerie qui le permettent, puis vérifiez l'historique des connexions et les appareils connectés. Puisqu'une adresse physique figure dans les données, restez également attentif aux faux messages de livraison ou de vérification.

• Changez le mot de passe de votre compte Mortal Online et de tous les comptes qui utilisent le même mot de passe.
• Utilisez l'authentification multifacteur sur vos comptes de messagerie et de boutiques de jeux.
• Vérifiez les messages d'assistance, d'échange, de remboursement et de récupération de compte par un canal indépendant.
• Vérifiez les sessions inconnues, les appareils connectés et les notifications de réinitialisation de mot de passe.

Même lorsque des comptes de jeu sont oubliés depuis de nombreuses années, les anciens jeux de données peuvent être utiles lors de nouvelles tentatives d'attaque. Utilisez une adresse e-mail distincte, un mot de passe unique et un gestionnaire de mots de passe pour vos comptes de jeu. La réutilisation du même nom d'utilisateur sur différentes plateformes facilite le rapprochement des profils; envisagez donc des noms d'utilisateur différents ou des paramètres de confidentialité supplémentaires pour les comptes sensibles. Passez régulièrement en revue vos anciens comptes de jeu et fermez ceux dont vous n'avez plus besoin.

Les responsables de communautés, les éditeurs et les utilisateurs qui participent à des transactions en jeu doivent se montrer particulièrement prudents face aux faux messages de parrainage, d'échange et d'assistance. Pour les organisations, cette fiche rappelle que les employés ne doivent pas réutiliser leurs mots de passe personnels de jeu dans les systèmes professionnels. Les contrôles empêchant la réutilisation des mots de passe, l'authentification multifacteur, les passerelles de messagerie sécurisées et les formations de sensibilisation réduisent les répercussions indirectes des fuites de données liées aux jeux.

Si vous voyez un résultat Mortal Online sur LeakData.io, comparez l'adresse e-mail et le nom d'utilisateur correspondants, ainsi que vos anciennes habitudes en matière de mots de passe, avec l'historique de vos propres comptes. Ce résultat ne signifie pas que vous jouez encore à Mortal Online aujourd'hui; il indique que des données de compte datant de 2018 ont été exposées. Puisque le champ du mot de passe est présent, la mesure la plus appropriée consiste à vérifier que l'ancien mot de passe n'est plus valide sur aucun de vos comptes actuels.

Cette fiche conserve son statut vérifié et son périmètre reste limité à cinq catégories de données. Plutôt que d'agir comme si des données de carte de paiement, des messages privés ou des actifs en jeu avaient été divulgués, concentrez-vous sur le risque réel que présentent l'adresse e-mail, le nom d'utilisateur, le nom réel, l'adresse physique et l'empreinte du mot de passe. En adoptant des mots de passe uniques, en activant l'authentification multifacteur et en vérifiant les communications suspectes par un canal indépendant, vous pouvez réduire les effets de la fuite de données de Mortal Online sur vos comptes actuels.