Exposition présumée de données chez RBXExchange
La fuite de données de RBXExchange en 2018 concerne RBXExchange (rbx.exchange), une place de marché virtuelle tierce non autorisée qui facilitait l’achat, la vente et l’échange de monnaie de la plateforme Roblox (Robux) et d’objets virtuels du catalogue.
Types de données exposées
6- Adresses e-mail
- Noms d’utilisateur
- Mots de passe
- Adresses IP
- Transaction histories
- Virtual currency balances
À propos de cette fiche
En mai 2018, la base de données MySQL de production de la plateforme a été compromise, puis diffusée au sein de communautés liées à la cybercriminalité et au piratage de jeux.
Quelles informations ont été touchées par l’incident RBXExchange ?
L’export SQL de la base de données divulguée (rbx.exchange.sql) et les fichiers d’export des utilisateurs (rbx.exchange_users.txt) contiennent plus de 110 000 comptes de joueurs ainsi que de nombreux journaux de transactions comprenant :
- Identité et profils de joueurs : Noms d’utilisateur sur la plateforme, identifiants des joueurs Roblox associés et pseudonymes Discord.
- Coordonnées : Adresses e-mail validées des utilisateurs.
- Identifiants d’authentification : Mots de passe des comptes utilisateurs hachés avec l’algorithme cryptographique bcrypt (
$2y$10$). - Télémétrie réseau : Adresses IP utilisées lors de l’inscription et de la connexion des utilisateurs.
- Monnaie virtuelle et données de facturation : Soldes de Robux et de jetons, enregistrements de transactions de facturation via les passerelles de paiement (PayPal, Stripe, Bitcoin) et correspondance avec le service client.
Combien de comptes ont été touchés ?
Une vérification canonique ASCII rigoureuse selon la norme RFC 5322 a confirmé la présence de 114 785 adresses e-mail valides et uniques dans les enregistrements de la base de données.
Analyse technique et risques de sécurité
Bien que les mots de passe aient été chiffrés avec bcrypt, les joueurs réutilisent fréquemment les mêmes identifiants sur leurs comptes Roblox officiels, leurs services de messagerie et les communautés de jeux. Les acteurs malveillants exploitent régulièrement les identifiants exposés sur des places de marché tierces de Robux dans le cadre d’attaques automatisées par réutilisation d’identifiants (« credential stuffing »), afin de compromettre les profils officiels de joueurs Roblox et de revendre des objets virtuels rares en édition limitée.
Mesures recommandées aux personnes concernées
Les utilisateurs qui se sont inscrits sur RBXExchange devraient :
- Changer immédiatement les mots de passe de leurs comptes Roblox officiels, de leurs comptes de messagerie et de leurs profils Discord.
- Activer la vérification en deux étapes (2SV / MFA) à l’aide d’une application d’authentification sur leur profil Roblox officiel.
- Éviter les sites d’échange tiers non autorisés qui enfreignent les conditions d’utilisation de la plateforme.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
