R2 (Fuite de données du forum en 2017)

Les types de données observés dans cette fiche sont les adresses e-mail, les mots de passe, les noms d’utilisateur et l’activité sur le site. Selon l’évaluation effectuée, les mots de passe étaient stockés sous forme d’empreintes MD5 sans sel, une forme de protection faible. Faute de vérification, les cartes de paiement, les comptes bancaires, les messages privés, les dossiers médicaux et les champs de profil supplémentaires n’ont pas été ajoutés à la liste des catégories de données; seuls les champs étayés ont été conservés.

L’activité sur le site et le nom d’utilisateur peuvent permettre de relier le comportement du joueur au sein de la communauté à son adresse e-mail. L’adresse e-mail seule présente un risque de spam; lorsqu’elle est associée à un numéro de téléphone, une adresse, une adresse IP, une date de naissance, un mot de passe, une pièce d’identité officielle, un dossier d’assistance, des informations sur un véhicule ou une adresse physique, il devient plus facile pour un attaquant de créer des messages ciblant précisément l’utilisateur. L’évaluation des risques a tenu compte de cet effet combiné.

Le périmètre se limite à l’incident du forum R2 Games survenu au début de 2017. Les éléments confirmés ont été conservés, tandis que les éléments non confirmés ont été exclus. Cet incident n’a pas été regroupé avec des jeux de données aux noms similaires, des incidents touchant la même entreprise à d’autres périodes ou des références erronées à un secteur d’activité.

La fiche R2Games de 2015, de plus grande ampleur et rattachée au même nom de domaine, n’a pas été fusionnée avec cette fiche. Les informations sur le nom de domaine, le nom de l’entreprise et le secteur d’activité ont été conservées dans le contexte exact le plus restreint possible. En cas d’incertitude, les indicateurs de vérification ou les champs relatifs au site web ont été définis en conséquence; aucune responsabilité incertaine d’une marque n’a ainsi été présentée aux utilisateurs.

Parmi les utilisateurs susceptibles d’être concernés pour la période de 2017 figurent les joueurs qui possédaient un compte sur le forum R2 Games et les personnes qui utilisaient le même nom d’utilisateur dans différents jeux. Si vos données correspondent à celles de cette fiche, vous devriez également examiner vos autres comptes sur lesquels vous avez utilisé la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou un schéma de mot de passe similaire en dehors du service concerné.

Si d’anciens mots de passe du forum sont réutilisés sur une boutique de jeux ou un compte de messagerie, le risque s’étend aux comptes actuels. La présence d’une adresse e-mail professionnelle, d’un forum de jeux, d’une inscription comme client auprès d’un vendeur de motos, d’une application de centre commercial, d’une demande d’assistance, d’un compte de location, d’une liste marketing ou d’un contexte lié à un logiciel malveillant peut accroître le risque d’ingénierie sociale. Des détails qui semblent exacts ne suffisent pas, à eux seuls, à établir la fiabilité d’un message.

Si vous êtes concerné, vous devriez changer votre mot de passe du forum R2 Games ainsi que celui de tout autre compte utilisant le même mot de passe. Pour les fiches comportant un champ de mot de passe, tous les comptes utilisant le même mot de passe doivent être mis à jour; pour les fiches sans champ de mot de passe, l’attention doit porter sur les risques liés aux adresses e-mail, aux numéros de téléphone, aux fausses notifications, à la vie privée et aux recoupements d’identité.

Plutôt que de cliquer sur les liens d’un message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée enregistrée dans un gestionnaire de mots de passe fiable. Ne considérez pas comme authentiques les messages concernant une facture, une alerte sur votre compte, une récompense dans un jeu, l’assistance, une livraison, le service client, un rendez-vous d’entretien, un avis public ou un renouvellement d’abonnement sans les vérifier par un canal indépendant.

Pour les forums de jeux, adoptez un mot de passe unique, un nom d’utilisateur distinct et l’habitude d’utiliser la vérification en deux étapes. Faites régulièrement le ménage parmi vos anciens comptes, les champs de profil inutiles, les noms d’utilisateur réutilisés et les anciens numéros de téléphone et adresses. Un mot de passe unique pour chaque service et la vérification en deux étapes partout où elle est possible devraient constituer la règle de base.

Du côté des fournisseurs de services, la minimisation des données, une protection robuste des mots de passe, la surveillance des journaux d’accès, la suppression des champs inutiles et des procédures de notification des utilisateurs prêtes à être mises en œuvre sont nécessaires. Les différents incidents survenus sur un même domaine doivent être présentés aux utilisateurs avec des périmètres distincts. Une explication exacte du périmètre fait aussi partie du travail de sécurité; des informations exagérées ou incomplètes peuvent conduire les utilisateurs à prendre des mesures inadaptées.

Commencez par effectuer une vérification à l’aide de votre adresse e-mail dans cette fiche. Si une correspondance est trouvée, vous devriez partir du principe que votre activité sur le site, votre nom d’utilisateur et les empreintes de mots de passe faiblement protégées peuvent être à risque. L’absence de correspondance n’exclut pas totalement l’utilisation d’une autre adresse e-mail ou la réutilisation d’un ancien mot de passe; vos comptes les plus importants devraient également être examinés.

Cette fiche a conservé son statut vérifié; elle n’a pas été créée en doublon de la fiche R2Games de 2015. Dans cette présentation, les champs de données ont été laissés sous forme de catégories canoniques en anglais, la description visible par les utilisateurs a été rédigée en turc sous la forme d’un texte original, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.