Pokémon Creed Fuite de données

Les types de données observés dans cette fiche sont les adresses e-mail, les informations sur le genre, les adresses IP, les mots de passe, les noms d’utilisateur et l’activité sur le site. Selon l’évaluation effectuée, les mots de passe sont en clair; cela présente un risque élevé lorsqu’ils sont réutilisés. Les cartes de paiement, comptes bancaires, messages privés, dossiers médicaux et champs de profil supplémentaires dont la présence n’était pas vérifiée n’ont pas été ajoutés à la liste des catégories de données; seuls les champs étayés ont été conservés.

Le nom d’utilisateur, l’activité sur le site et les informations IP peuvent permettre de rapprocher l’identifiant de jeu d’identifiants utilisés sur différentes plateformes. Une adresse e-mail seule expose à un risque de messages indésirables; lorsqu’elle est associée à un numéro de téléphone, une adresse postale, une adresse IP, une date de naissance, un mot de passe, des projets de voyage, des données partielles de carte de paiement ou des données d’appareil, il devient plus facile pour un attaquant de créer des messages personnalisés à l’intention de l’utilisateur. L’évaluation des risques a tenu compte de cet effet combiné.

Le périmètre a été vérifié : il porte sur 116 465 comptes et date d’août 2014. Les éléments confirmés ont été conservés, tandis que les éléments non confirmés ont été exclus. Cet incident n’a pas été regroupé avec des jeux de données portant des noms similaires, des incidents survenus à d’autres périodes dans la même entreprise ou des références sectorielles incorrectes.

Cette fiche se limite au domaine pokemoncreed.net et n’a pas été présentée comme une atteinte aux systèmes officiels de la marque Pokémon. Le nom de domaine, le nom de l’entreprise et les informations sectorielles ont été maintenus dans le contexte exact le plus restreint possible. En cas d’incertitude, l’indicateur de vérification ou le domaine du site web a été défini en conséquence; aucune responsabilité n’a ainsi été attribuée à la marque sur la base d’éléments incertains.

Les groupes d’utilisateurs à risque peuvent comprendre les joueurs de Pokémon Creed, les membres de communautés de jeux de rôle (RPG) créés par des fans et les personnes qui utilisent le même nom d’utilisateur dans d’autres jeux. Les utilisateurs pour lesquels une correspondance a été trouvée devraient également examiner les autres comptes sur lesquels ils utilisent la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou un mot de passe construit sur le même modèle, en dehors du service concerné.

Il convient de prendre en compte la possibilité que de jeunes utilisateurs aient réutilisé d’anciens mots de passe de jeu sur des réseaux sociaux ou des comptes de messagerie. Le risque d’ingénierie sociale peut augmenter lorsque le contexte implique une adresse e-mail professionnelle, un compte lié à un établissement d’enseignement, une réservation d’hôtel, un abonnement à un service de télécommunications, une communauté de joueurs, un don à un projet open source ou un logiciel de suivi. Des détails qui semblent exacts ne constituent pas, à eux seuls, un gage de confiance.

Les utilisateurs concernés devraient changer leur mot de passe Pokémon Creed ainsi que les mots de passe de tous leurs comptes de jeu, de messagerie et de réseaux sociaux sur lesquels ce même mot de passe est utilisé. Lorsqu’une fiche comporte un champ de mot de passe, le mot de passe de tous les comptes qui l’utilisent doit être modifié; lorsqu’elle n’en comporte pas, l’attention doit porter sur les risques liés aux adresses e-mail, aux numéros de téléphone, aux fausses notifications, à la confidentialité et au rapprochement d’identités.

Au lieu de cliquer sur les liens contenus dans un message, il convient de saisir manuellement l’adresse du service concerné ou d’utiliser l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Les messages concernant des livraisons, des alertes de compte, des récompenses de jeu, l’assistance, des notifications aux donateurs, des réservations de voyage, des notifications de sécurité ou des renouvellements d’abonnement ne doivent pas être considérés comme fiables sans vérification par un canal indépendant.

Les mots de passe des comptes officiels de la marque ne doivent pas être utilisés dans les jeux créés par des fans; il est préférable de choisir un mot de passe et un nom d’utilisateur distincts pour chaque jeu. Les utilisateurs devraient régulièrement faire le tri dans leurs anciens comptes, les champs de profil inutiles, les noms d’utilisateur réutilisés et les numéros de téléphone et adresses qui ne sont plus à jour. Un mot de passe unique pour chaque service et l’authentification à deux facteurs partout où elle est possible devraient être la règle de base.

Du côté des prestataires de services, il est nécessaire de minimiser les données collectées, de protéger solidement les mots de passe, de surveiller les journaux d’accès, de supprimer les champs inutiles et de disposer de procédures opérationnelles pour informer les utilisateurs. Les communautés de jeux créés par des fans doivent communiquer les notifications de sécurité sans susciter une confiance trompeuse liée à l’image de la marque officielle. Une explication exacte du périmètre fait également partie du travail de sécurité; des informations exagérées ou incomplètes peuvent conduire l’utilisateur à prendre des mesures inadaptées.

L’utilisateur devrait d’abord vérifier si son adresse e-mail figure dans cette fiche. Si une correspondance est trouvée, il convient de considérer que le mot de passe en clair, l’activité sur le site, le nom d’utilisateur et les informations IP peuvent être à risque. L’absence de correspondance n’exclut pas complètement l’utilisation d’une autre adresse e-mail ou la réutilisation d’un ancien mot de passe; les comptes critiques devraient également être examinés.

Cette fiche a été vérifiée et mise à jour avec un classement sensible; elle n’a pas été confondue avec les systèmes officiels de la marque. Dans cette version, les champs de données ont été conservés sous forme de catégories canoniques en anglais, la description visible par l’utilisateur a été rédigée en turc sous une forme originale, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.