PSP ISO Fuite de données

Les types de données observés dans cette fiche sont les adresses e-mail, les adresses IP, les mots de passe et les noms d’utilisateur. Selon l’évaluation effectuée, les mots de passe étaient stockés sous forme de hachages MD5 salés; les mots de passe anciens et faibles présentent un risque. Les données non vérifiées concernant les cartes de paiement, les comptes bancaires, les messages privés, les dossiers médicaux ou d’autres champs de profil n’ont pas été ajoutées à la liste des catégories de données; seuls les champs étayés ont été conservés.

Les correspondances entre noms d’utilisateur de forum, adresses IP et adresses e-mail peuvent permettre de relier des identités entre différentes communautés de joueurs. Une adresse e-mail seule présente un risque de messages indésirables; lorsqu’elle est associée à un numéro de téléphone, une adresse, une adresse IP, une date de naissance, un mot de passe, une pièce d’identité officielle, un dossier d’assistance, des informations sur un véhicule ou une adresse physique, il devient plus facile pour un attaquant de créer des messages ciblant l’utilisateur. L’évaluation du risque a tenu compte de cet effet combiné.

Le périmètre a été vérifié à partir des 1,27 million de comptes PSP ISO de septembre 2015. Les éléments vérifiés ont été conservés, tandis que ceux qui n’étaient pas confirmés ont été exclus. L’incident n’a pas été regroupé avec des jeux de données portant des noms similaires, des incidents concernant la même entreprise à d’autres périodes ou des références sectorielles erronées.

Cette fiche se limite au domaine pspiso.com et ne présente pas l’incident comme une atteinte aux systèmes officiels de PlayStation. Le nom de domaine, le nom de l’entreprise et les informations sectorielles ont été conservés dans le contexte exact le plus restreint possible. En cas d’incertitude, l’indicateur de vérification ou le domaine du site web a été défini en conséquence; ainsi, le texte présenté à l’utilisateur n’a attribué aucune responsabilité à une marque sans confirmation.

Les groupes d’utilisateurs à risque peuvent comprendre les joueurs disposant d’un compte sur le forum PSP ISO et les personnes qui utilisent le même nom d’utilisateur sur d’autres forums. Si une correspondance est trouvée avec vos données, vous devez également examiner vos autres comptes sur lesquels vous utilisez la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou un schéma de mot de passe similaire en dehors du service concerné.

Si le même mot de passe a été utilisé pour une messagerie, une boutique de jeux ou un compte sur un réseau social, les anciennes données du forum présentent un risque pour les comptes actuels. Le risque d’ingénierie sociale peut augmenter en présence d’une adresse e-mail professionnelle ou d’un contexte lié à un forum de jeux, à un dossier client dans le secteur de la moto, à une application de centre commercial, à une demande d’assistance, à un compte de location, à une liste marketing ou à un logiciel malveillant. Des détails qui semblent exacts ne constituent pas, à eux seuls, un gage de confiance.

Si vous êtes concerné, vous devez changer votre mot de passe PSP ISO ainsi que celui de tous les comptes sur lesquels vous utilisez le même mot de passe. Pour les fiches comportant un champ de mot de passe, il faut modifier le mot de passe de tous les comptes qui le réutilisent; pour les fiches sans champ de mot de passe, l’attention doit porter sur les risques liés aux e-mails, aux appels ou messages téléphoniques, aux fausses notifications, à la vie privée et au rapprochement d’identités.

Au lieu de cliquer sur les liens d’un message, vous devez saisir manuellement l’adresse du service concerné ou utiliser l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Les messages concernant une facture, une alerte de compte, une récompense dans un jeu, l’assistance, une livraison, le service client, un rendez-vous de maintenance, un avis public ou un renouvellement d’abonnement ne doivent pas être considérés comme fiables sans vérification par un canal indépendant.

Les mots de passe de comptes officiels ne doivent pas être utilisés sur les forums de jeux; il convient de privilégier un mot de passe distinct et, si possible, un nom d’utilisateur distinct pour chaque forum. Vous devez régulièrement faire le ménage dans vos anciens comptes, les champs de profil inutiles, les noms d’utilisateur réutilisés et les anciennes coordonnées téléphoniques et postales. Un mot de passe unique pour chaque service et, lorsque c’est possible, la vérification en deux étapes doivent constituer une règle de base.

Du côté des fournisseurs de services, la minimisation des données, une protection robuste des mots de passe, la surveillance des journaux d’accès, la suppression des champs inutiles et des procédures de notification des utilisateurs prêtes à être mises en œuvre sont nécessaires. Les anciennes infrastructures de forums génèrent des données qui peuvent servir pendant de nombreuses années à tester des mots de passe de façon répétée. Expliquer précisément le périmètre fait également partie du travail de sécurité; des informations exagérées ou incomplètes peuvent conduire l’utilisateur à prendre des mesures inadaptées.

Vous devez d’abord effectuer une vérification avec l’adresse e-mail figurant dans cette fiche. Si une correspondance est trouvée, vous devez considérer que les champs de nom d’utilisateur, d’adresse IP et de mot de passe peuvent être à risque, et supprimer vos anciens mots de passe de forums. L’absence de correspondance n’exclut pas totalement l’utilisation d’une autre adresse e-mail ou la réutilisation d’anciens mots de passe; les comptes critiques doivent être examinés séparément.

Cette fiche est restée vérifiée; elle n’a pas été confondue avec les systèmes officiels de la marque. Dans le cadre de cette révision, les champs de données ont conservé leurs catégories canoniques en anglais, la description visible par l’utilisateur a été rédigée en turc avec un texte original, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.