R2Games Fuite de données

Les données recensées pour cet incident comprennent des adresses e-mail, des noms d’utilisateur, des adresses IP et des empreintes de mots de passe. En associant une adresse e-mail à un nom d’utilisateur, un attaquant peut plus facilement repérer de véritables comptes R2Games et préparer des messages convaincants concernant une réinitialisation de mot de passe, une récompense en jeu ou une demande d’assistance. Une adresse IP ne permet pas d’établir précisément le domicile ou la localisation d’une personne, mais elle peut fournir des indications approximatives sur sa région et son fournisseur d’accès à Internet, ce qui rend l’hameçonnage ciblé plus crédible. Les mots de passe n’étaient pas répertoriés en clair. Toutefois, selon les informations rapportées, la mise en œuvre du hachage avec sel était suffisamment faible pour permettre de retrouver rapidement de nombreux mots de passe. Le risque ne se limite pas à un ancien compte R2Games : si le même mot de passe a été réutilisé pour un autre jeu, un compte de messagerie ou un réseau social, des tentatives de bourrage d’identifiants peuvent étendre les conséquences à ces services.

La date enregistrée situe l’incident en novembre 2015, sans précision du jour; les éléments publics ne permettent pas d’établir une date exacte pour chaque étape de l’intrusion. La première analyse a identifié environ 2,1 millions d’enregistrements du forum. Environ 11 millions de comptes supplémentaires ont été rattachés au même incident en mars 2016, puis 9 millions de plus en juillet 2016, pour atteindre le total vérifié de 22 281 337 comptes. Cette augmentation par étapes ne correspond pas à trois fuites distinctes au sein de l’entreprise; elle reflète l’obtention et la validation, à différents moments, de jeux de données R2Games liés entre eux. L’infrastructure du forum concerné utilisait vBulletin et contenait des adresses IP et des mots de passe. Selon les informations rapportées, la faiblesse de la mise en œuvre du hachage avec sel permettait de retrouver rapidement les mots de passe à partir de leurs empreintes. L’entreprise a démenti ces affirmations; la vérification repose sur des contrôles indépendants des jeux de données. Un second incident touchant le forum, signalé en 2017, est distinct, et ses 1 023 466 comptes ne sont pas inclus dans ce total.

Le risque est le plus élevé pour les joueurs qui ont créé un compte sur le portail ou les forums R2Games durant la période 2015–2016 et ont réutilisé leur mot de passe sur un autre service. Un compte de jeu inactif peut sembler sans importance, mais un ancien nom d’utilisateur, une adresse e-mail et un mot de passe susceptible d’être retrouvé à partir de son empreinte peuvent offrir à un attaquant un point de départ pour accéder à des comptes actuels. Les personnes qui se sont inscrites à plusieurs services de jeu avec la même adresse e-mail, ont effectué des achats en jeu, ont conservé des profils publics sur les forums ou n’ont pas activé l’authentification multifacteur sur leur messagerie doivent être particulièrement vigilantes. Les anciens comptes peuvent aussi contenir des mots de passe réutilisés et des adresses de récupération obsolètes. Des personnes qui ne se souviennent pas de R2Games peuvent tout de même figurer dans les données en raison d’une ancienne inscription à un forum ou d’une autre adresse e-mail utilisée il y a des années.

Si vous avez réutilisé votre ancien mot de passe R2Games ailleurs, changez immédiatement les mots de passe des comptes concernés. Générez un mot de passe long et unique pour chaque service et, si possible, conservez-le dans un gestionnaire de mots de passe réputé. Sécurisez d’abord votre compte de messagerie, car l’accès aux e-mails permet de réinitialiser les mots de passe de nombreux autres comptes. Si votre compte R2Games est toujours actif, remplacez son mot de passe et vérifiez les sessions ainsi que les informations de récupération; si vous n’en avez plus besoin, envisagez de demander sa suppression auprès de l’assistance officielle. Activez l’authentification multifacteur sur vos comptes de messagerie, de boutiques de jeux et de réseaux sociaux, en privilégiant une application d’authentification ou une clé de sécurité plutôt que les SMS lorsque cette option est disponible. Ne suivez pas les liens de messages pressants qui promettent de la monnaie virtuelle gratuite, avertissent qu’un compte va être suspendu ou proposent un remboursement. Saisissez vous-même l’adresse du service et fiez-vous uniquement au domaine r2games.com et aux canaux d’assistance officiels.

Cet incident montre pourquoi un ancien compte de forum peut rester un maillon faible de votre sécurité des années plus tard. Tenez un inventaire des comptes créés sur les sites de jeux, les forums et les sites communautaires; fermez ceux dont vous n’avez plus besoin et évitez de laisser votre adresse e-mail principale actuelle associée à des profils abandonnés. Un gestionnaire de mots de passe facilite l’utilisation d’un mot de passe différent pour chaque compte, afin qu’un mot de passe retrouvé à partir de son empreinte ne permette pas d’accéder à d’autres services. Gardez l’authentification multifacteur et les alertes de session activées sur le compte de messagerie qui permet de réinitialiser vos mots de passe, et maintenez ses options de récupération à jour. Vos vérifications doivent inclure les anciennes inscriptions aux forums et les anciens noms d’utilisateur, pas seulement les services utilisés au quotidien. Examinez le domaine réel, la destination du lien et le caractère habituel ou non de la demande, au lieu de vous fier au nom affiché de l’expéditeur. Des mots de passe uniques, l’authentification multifacteur et la surveillance des sessions réduisent le risque que des identifiants exposés conduisent à une prise de contrôle de compte.

Vérifiez votre adresse e-mail avec LeakData pour savoir si elle figure dans les données de l’incident R2Games ou d’une autre fuite connue. Une correspondance ne signifie pas que votre compte est actuellement contrôlé par quelqu’un d’autre, ni qu’une ancienne adresse IP révèle votre localisation actuelle; elle signifie que l’adresse figure dans un jeu de données de fuite validé. Interprétez le résultat en tenant compte de la date de l’incident, des types de données répertoriés et de vos habitudes en matière de mots de passe à cette époque. En cas de correspondance, identifiez tous les services sur lesquels l’ancien mot de passe a pu être utilisé, sécurisez d’abord votre messagerie et les comptes associés à des moyens de paiement, puis vérifiez vos profils sur les forums et les services de jeu. L’absence de correspondance ne constitue pas une garantie absolue de sécurité, car tous les jeux de données ne deviennent pas publics ou ne peuvent pas être validés. Les mots de passe uniques et l’authentification multifacteur doivent rester des protections permanentes, et non des mesures appliquées uniquement après une alerte.