Fuite de données PESGaming de 2016

L’examen conjoint des champs visibles dans la fiche PESGaming montre que le risque ne provient pas d’un seul type de données. Lorsque des adresses e-mail, des noms d’utilisateur, des adresses IP, des informations de hachage des mots de passe, des sels de hachage des mots de passe et des données de mots de passe figurent dans un même profil utilisateur, les attaquants peuvent préparer des messages plus personnalisés et plus convaincants. La présence de coordonnées ou d’identifiants de compte ou de profil vérifiés dans les enregistrements accroît le risque d’ingénierie sociale et de rapprochement entre profils. Les éléments de contexte supplémentaires relatifs au compte peuvent aider à faire passer de faux messages pour des communications s’inscrivant dans le fonctionnement normal d’un service authentique.

Les principaux risques mis en évidence dans cet incident sont l’hameçonnage, la prise de contrôle de comptes et les scénarios d’ingénierie sociale. Les attaquants peuvent combiner les champs présents dans les enregistrements pour préparer de fausses alertes de compte, réinitialisations de mot de passe, demandes de renouvellement d’abonnement, notifications d’assistance ou demandes de vérification de sécurité. L’utilisation de détails de compte réellement présents dans les enregistrements peut réduire la vigilance de l’utilisateur. Ainsi, même si un enregistrement ne contient pas de mot de passe, le risque de rapprochement entre profils et de fraude ciblée subsiste. Si un champ de mot de passe est présent, le risque augmente encore, car le même mot de passe, ou un mot de passe similaire, peut être essayé sur d’autres services.

La première étape pour les utilisateurs de PESGaming consiste à comparer les champs répertoriés dans cette fiche avec leurs propres habitudes d’utilisation des comptes. Si les mêmes informations de compte ou coordonnées vérifiées ont été utilisées sur d’autres services, les messages reçus doivent être évalués en tenant compte de l’ensemble de l’identité numérique. Si le même nom d’utilisateur est également utilisé sur des comptes de réseaux sociaux, de jeux, de forums, d’éducation, de voyage ou d’achats, le risque de rapprochement entre profils augmente. Les utilisateurs ne doivent pas cliquer directement sur des liens inattendus. Ils doivent vérifier les opérations relatives à leurs comptes en passant par des noms de domaine connus, adopter des mots de passe uniques pour les comptes sur lesquels un même mot de passe est réutilisé et activer l’authentification multifacteur lorsque cela est possible. Lorsque les enregistrements contiennent des informations de hachage des mots de passe, il faut aussi revoir les schémas de construction des anciens mots de passe. Plutôt que de modifier quelques caractères, il convient de privilégier des mots de passe longs et entièrement uniques.

Pour les organisations, il est important d’examiner la fiche PESGaming afin de comprendre dans quel contexte de données les adresses e-mail ou les comptes personnels de leurs employés apparaissent sur des services externes. Si un employé a utilisé son adresse e-mail professionnelle sur de tels services, les attaquants peuvent reprendre ces informations dans des messages imitant des demandes d’assistance, des notifications de facture, des vérifications de compte ou des communications internes. Les équipes de sécurité doivent surveiller non seulement les fuites contenant des mots de passe, mais aussi les champs confirmés dans les enregistrements, notamment ceux liés à l’identité, aux comptes, aux communications et au contexte d’utilisation, en tant que sources de risques d’ingénierie sociale.

La fiche consacrée à la fuite de données de PESGaming se limite donc aux champs étayés, mais elle mérite une attention particulière en raison de ses conséquences possibles sur la sécurité. Pour les utilisateurs, l’approche la plus appropriée consiste à vérifier les liens reçus par un canal indépendant, à mettre à jour les options de récupération de compte, à contrôler les autres comptes utilisant les mêmes informations et à ne pas approuver précipitamment des demandes inattendues de vérification ou de paiement. Cette page a été mise à jour afin que les utilisateurs qui recherchent des informations sur la fuite de données de PESGaming puissent comprendre, sans exagération, le nombre d’enregistrements, les champs de données concernés et les mesures de protection prioritaires.

Cette dernière vérification de la fiche PESGaming vise à garantir que la liste des champs de données reste cohérente avec la description visible par l’utilisateur. La personne qui effectue la recherche ne doit voir sur cette page que des types de données étayés. Aucune affirmation supplémentaire concernant des champs non étayés ne doit être ajoutée dans le seul but d’amplifier le risque apparent. Cette approche aide les utilisateurs à choisir les mesures de sécurité adaptées et les organisations à déterminer quelles données de leurs employés pourraient réellement être à risque. Le périmètre actuel des catégories de données se limite aux champs suivants : adresses e-mail, noms d’utilisateur, adresses IP, métadonnées de hachage des mots de passe, sels de hachage des mots de passe, mots de passe.