Fuite de données chez Multiplayer.it

Les types de données confirmés dans cette fiche sont les adresses e-mail, les noms d’utilisateur et les empreintes de mots de passe. L’adresse e-mail constitue le moyen de contact de l’utilisateur associé au compte; le nom d’utilisateur peut servir d’identifiant secondaire pour retrouver la même personne sur des communautés de jeux vidéo, des forums, des plateformes de streaming ou d’autres services numériques. Le fait que les mots de passe soient représentés par des empreintes ne signifie pas qu’ils sont en texte clair. Toutefois, l’ancienne méthode de hachage fondée sur MD5 reste considérée comme présentant un risque élevé face aux attaques. L’utilisation d’un sel rend l’attaque plus difficile, mais il peut rester possible de retrouver des mots de passe faibles, courts ou réutilisés. Si la même adresse e-mail et le même mot de passe sont utilisés pour d’autres comptes de jeux vidéo, de messagerie, de réseaux sociaux ou d’achat en ligne, des attaquants peuvent tenter d’en prendre le contrôle par des attaques de bourrage d’identifiants.

La date confirmée est le 1er septembre 2018, et le nombre de comptes touchés est établi à 503 957. La réapparition en avril 2024 correspond à la redistribution des données et à leur ajout ultérieur à des listes de fuites confirmées; cette date n’est pas considérée comme celle du début de l’incident. Les principales catégories de données confirmées sont les adresses e-mail et les mots de passe; des descriptions complémentaires des sources mentionnent aussi explicitement les noms d’utilisateur et les empreintes MD5 salées de mots de passe. Les champs relatifs aux cartes de paiement, aux adresses postales, aux numéros de téléphone, aux pièces d’identité, aux messages privés ou aux soldes financiers n’ayant pas été vérifiés pour cette fiche, ils n’y sont pas inclus. Le nombre de 503 957 comptes sert de référence pour le périmètre chiffré; bien que certains index secondaires affichent des chiffres proches, dépassant 504 000 comptes, le nombre principal présenté à l’utilisateur reste celui des comptes confirmés.

Les personnes les plus exposées au risque sont celles qui ont ouvert un compte Multiplayer.it avant 2018, conservé longtemps la même adresse e-mail et réutilisé leur mot de passe sur d’autres services. Les personnes qui emploient le même nom d’utilisateur sur des forums de jeux vidéo peuvent voir leurs profils rapprochés entre différents services. Les messages d’hameçonnage ciblé peuvent paraître plus convaincants aux éditeurs, aux responsables de communautés de joueurs, aux modérateurs et aux personnes dont le nom d’utilisateur est visible. Pour les personnes inscrites avec une adresse e-mail professionnelle, le risque peut s’étendre aux comptes utilisés au travail; la réutilisation d’un ancien mot de passe de site de jeux vidéo dans des systèmes professionnels peut avoir de graves conséquences en matière de sécurité. Les utilisateurs pour lesquels une correspondance est détectée doivent donc considérer cet incident non seulement comme un problème lié à un compte de jeux vidéo, mais aussi comme un risque plus large pour la sécurité de leurs comptes, lié à leur adresse e-mail et à leurs habitudes de réutilisation des mots de passe.

Si une correspondance est détectée pour vous, changez d’abord le mot de passe de votre compte Multiplayer.it ainsi que celui de tout autre compte sur lequel le même mot de passe a pu être utilisé. Les nouveaux mots de passe doivent être uniques, longs et générés à l’aide d’un gestionnaire de mots de passe. Vérifiez en priorité vos comptes de messagerie, vos plateformes de jeux vidéo, vos boutiques numériques, vos comptes de réseaux sociaux et les services liés à des moyens de paiement. Activez l’authentification à deux facteurs sur les services qui la proposent, et examinez les sessions existantes ainsi que les applications connectées. Méfiez-vous des messages qui mentionnent votre nom d’utilisateur ou d’anciennes informations du site; vérifiez le domaine par un canal distinct avant d’ouvrir un lien. Même si vous ne savez pas avec certitude si l’ancien mot de passe a été utilisé ailleurs, envisagez cette possibilité avec prudence et attribuez un mot de passe unique à chacun de vos comptes critiques.

Cet incident montre qu’une fuite survenue des années auparavant peut continuer à présenter un risque lorsque les données refont surface. Les utilisateurs doivent régulièrement passer en revue leurs anciens comptes de forums, de sites de jeux vidéo et de communautés, fermer les comptes inutilisés ou, au minimum, mettre à jour leurs mots de passe. Comme l’utilisation du même nom d’utilisateur sur différents services facilite le rapprochement des profils, il est préférable d’employer un pseudonyme pour les comptes très visibles. Les gestionnaires de mots de passe, le masquage des adresses e-mail et une authentification à deux facteurs robuste constituent les mesures de base pour réduire les risques à long terme. Les organisations ne doivent pas sous-estimer les anciennes fuites de données de sites de jeux vidéo et de forums; si des adresses e-mail de salariés figurent dans ces données, les risques liés à la réutilisation des mots de passe, à la vulnérabilité à l’hameçonnage et à l’accès aux comptes professionnels doivent être évalués ensemble.

Une correspondance avec Multiplayer.it dans cette fiche indique que l’adresse e-mail associée peut figurer dans les données de la communauté de joueurs datant de 2018. Cette correspondance ne signifie pas que des informations de paiement ou des pièces d’identité ont été exposées; le principal risque provient de la combinaison de l’adresse e-mail, du nom d’utilisateur et des empreintes de mots de passe, qui révèle d’anciennes habitudes d’utilisation des comptes. Dressez la liste des comptes critiques associés à la même adresse e-mail, remplacez les mots de passe anciens et réutilisés, généralisez l’authentification à deux facteurs et méfiez-vous des messages d’hameçonnage qui prennent pour thème les communautés de joueurs. Pour les organisations, les actions recommandées consistent à retenir 2018 comme date de la fuite lorsqu’une correspondance avec cette fiche apparaît pour des adresses e-mail de salariés, à considérer 2024 uniquement comme la période de réapparition des données et à vérifier la réutilisation des mots de passe au moyen d’un contrôle de sécurité distinct.