Fuite de données chez PlayCyberGames

Les types de données observés dans cette fiche sont les adresses e-mail, les mots de passe et les noms d’utilisateur. L’analyse a conclu que les mots de passe sont stockés sous forme d’empreintes MD5 avec une valeur de sel fixe; cette méthode est considérée comme faible. Les champs non vérifiés concernant les cartes de paiement, les comptes bancaires, les messages privés, les dossiers médicaux ou des informations de profil supplémentaires n’ont pas été ajoutés à la liste des catégories de données; seuls les champs étayés ont été conservés.

L’association d’un nom d’utilisateur de jeu et d’une adresse e-mail facilite les tentatives de connexion à d’autres comptes de jeu à l’aide de mots de passe ainsi que l’envoi de fausses invitations à jouer. Une adresse e-mail seule présente un risque de messages indésirables; lorsqu’elle est associée à un numéro de téléphone, une adresse, une adresse IP, une date de naissance, un mot de passe, des projets de voyage, des données partielles de carte ou des informations sur un appareil, un attaquant peut plus facilement vous envoyer des messages personnalisés. L’évaluation des risques a tenu compte de cet effet combiné.

Le périmètre vérifié était de 3,68 millions de comptes en août 2023. Les éléments confirmés ont été conservés, tandis que les éléments non confirmés ont été exclus. L’incident n’a pas été regroupé avec des jeux de données portant des noms similaires, des incidents survenus à d’autres périodes au sein de la même entreprise ou des attributions sectorielles erronées.

Cette fiche se limite au domaine playcybergames.com et n’a pas été fusionnée avec celles d’autres plateformes de jeux. Le nom de domaine, le nom de l’entreprise et les informations sectorielles ont été conservés dans le contexte exact le plus restreint possible. En cas d’incertitude, les indicateurs de vérification ou les domaines des sites web ont été définis en conséquence; ainsi, aucune responsabilité incertaine n’a été attribuée à une marque dans les informations qui vous sont présentées.

Les groupes d’utilisateurs à risque peuvent inclure les joueurs qui possèdent un compte PlayCyberGames et les personnes qui utilisent le même nom d’utilisateur dans différents jeux. Si une correspondance est trouvée pour vos données, vous devriez également examiner vos autres comptes qui utilisent la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou un mot de passe construit sur le même modèle en dehors du service concerné.

Le risque est plus élevé si le même mot de passe a été utilisé pour un compte sur une boutique de jeux, une messagerie ou un réseau social. Le risque d’ingénierie sociale peut augmenter dans un contexte impliquant une adresse e-mail professionnelle, un compte lié à un établissement d’enseignement, une réservation d’hôtel, un abonnement télécom, une communauté de joueurs, un don à un projet open source ou un logiciel de surveillance. Des détails qui semblent exacts ne suffisent pas, à eux seuls, à garantir la fiabilité d’un message.

Si vous êtes concerné, vous devriez changer votre mot de passe PlayCyberGames ainsi que celui de tous les comptes où vous utilisez le même mot de passe. Lorsqu’une fiche comporte un champ de mot de passe, le mot de passe doit être modifié sur tous les comptes qui le partagent; lorsqu’elle n’en comporte pas, l’attention doit porter sur les risques liés aux e-mails, aux numéros de téléphone, aux fausses notifications, à la vie privée et au rapprochement d’identités.

Au lieu de cliquer sur les liens d’un message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Ne vous fiez pas aux messages concernant des livraisons, des alertes de compte, des récompenses de jeu, l’assistance, des notifications aux donateurs, des réservations de voyage, des notifications de sécurité ou des renouvellements d’abonnement sans les vérifier par un canal indépendant.

Sur les plateformes de jeux, prenez l’habitude d’utiliser des mots de passe uniques, des noms d’utilisateur différents et la vérification en deux étapes. Faites régulièrement le ménage dans vos anciens comptes, les champs de profil inutiles, les noms d’utilisateur réutilisés et les anciennes coordonnées téléphoniques et postales. Un mot de passe unique pour chaque service et la vérification en deux étapes, lorsqu’elle est disponible, devraient être la règle de base.

Du côté des fournisseurs de services, il est nécessaire de minimiser les données, de protéger efficacement les mots de passe, de surveiller les journaux d’accès, de supprimer les champs inutiles et de disposer de procédures opérationnelles pour informer les utilisateurs. Les plateformes de jeux devraient abandonner les anciennes méthodes de stockage des mots de passe fondées sur MD5 au profit d’algorithmes modernes et coûteux en ressources. Une description exacte du périmètre fait également partie des efforts de sécurité; des informations exagérées ou incomplètes peuvent vous conduire à prendre des mesures inadaptées.

Commencez par vérifier si une adresse e-mail correspond à cette fiche. Si une correspondance est trouvée, considérez que le nom d’utilisateur et les empreintes de mot de passe faiblement protégées peuvent être à risque; les mots de passe de jeu réutilisés doivent être abandonnés. L’absence de correspondance n’exclut pas totalement l’utilisation d’une autre adresse e-mail ou la réutilisation d’un ancien mot de passe; vos comptes critiques devraient également être examinés.

Cette fiche a conservé son statut vérifié; le secteur et la description des risques ont été replacés dans le contexte d’une plateforme de jeux. Dans cette version, les champs de données ont été conservés sous forme de catégories canoniques en anglais, la description visible par les utilisateurs a été rédigée en turc dans une formulation originale, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.