Fuite de données de Scuf Gaming en 2015

Les types de données répertoriés dans cette fiche sont les noms affichés, les adresses e-mail, les adresses IP, les mots de passe et les noms d’utilisateur. Puisqu’un champ de mot de passe est présent, la priorité est de vérifier si le mot de passe du compte Scuf Gaming a été réutilisé sur d’autres services. Il faut notamment le changer immédiatement si la même famille de mots de passe est utilisée pour la messagerie, une boutique de jeux, un compte de console, un compte d’achat associé à un moyen de paiement et des comptes de forums.

Les utilisateurs peuvent avoir l’habitude de recevoir des messages de marques de matériel de jeu comme Scuf Gaming au sujet de commandes, de garanties, de réparations, d’accessoires, de tournois ou de l’assistance. Ce contexte peut rendre plus convaincants de faux messages de service client ou de livraison. Un message reprenant le nom de l’utilisateur, son nom affiché, son adresse e-mail et son historique d’adresses IP peut être présenté comme faisant partie d’un véritable achat ou d’une demande d’assistance.

Les champs du nom affiché et du nom d’utilisateur sont importants dans les communautés de joueurs. Les joueurs peuvent réutiliser le même pseudonyme sur les réseaux de consoles, les plateformes de diffusion en direct, les sites de tournois, les serveurs Discord et les forums. Une seule fuite de données peut donc permettre de relier les différents comptes de jeu d’une personne. Le risque augmente encore si le même pseudonyme est également utilisé sur des comptes de réseaux sociaux professionnels ou personnels.

Les adresses IP peuvent fournir des indices limités sur la localisation approximative ou le réseau utilisé. À elles seules, elles ne constituent pas une preuve concluante de l’identité d’une personne. Toutefois, combinées au nom d’utilisateur, à l’adresse e-mail et au contexte d’une commande, elles peuvent servir à élaborer des messages ciblés. Par exemple, des messages semblant concerner une livraison dans une zone précise, le traitement d’une demande de garantie ou des alertes d’assistance technique peuvent inciter l’utilisateur à agir rapidement.

Les hachages de mots de passe ne sont pas des mots de passe en clair. Toutefois, les méthodes de stockage des mots de passe utilisées dans les anciens systèmes et le choix de mots de passe faibles par les utilisateurs peuvent laisser subsister un risque. Même si la fuite est ancienne, le danger reste actuel si l’utilisateur a réutilisé le même mot de passe au fil des années. Créer un mot de passe différent pour chaque compte à l’aide d’un gestionnaire de mots de passe réduit les répercussions en chaîne de ces anciennes fuites.

Pour les organisations, l’incident de Scuf Gaming montre qu’il faut protéger les comptes de commerce en ligne et les comptes communautaires, ainsi que les données de profil conservées longtemps. Un ancien compte de commande ou d’assistance peut ne plus être utilisé activement, mais ses champs d’adresse e-mail, de nom d’utilisateur et de mot de passe restent précieux pour les attaquants. Il est important de fermer les comptes inutilisés, de mettre à jour les anciens hachages de mots de passe conformément aux normes actuelles et d’informer clairement les clients.

Les utilisateurs concernés doivent examiner attentivement les messages provenant de Scuf Gaming qui portent sur une garantie, une expédition, une réparation, une réduction, un tournoi, une vérification de compte ou une mise à jour des informations de paiement. Plutôt que de cliquer sur le lien du message, il faut accéder manuellement au site connu. Les paramètres de confidentialité des comptes de jeu et de réseaux sociaux utilisant le même nom d’utilisateur doivent être vérifiés, et les anciens mots de passe doivent être changés.

Comme le compte Scuf Gaming relève à la fois du commerce en ligne et des communautés de joueurs, les utilisateurs doivent vérifier aussi bien les connexions à leur compte que les messages liés à leur historique de commandes. Une ancienne commande de manette, une demande de garantie ou une participation à un tournoi peut servir, des années plus tard, à inspirer confiance dans un faux message. Les utilisateurs doivent consulter l’espace officiel de leur compte avant d’ouvrir les liens figurant dans des notifications dont l’objet concerne une expédition ou une garantie.

Pour protéger le compte de jeu, il faut vérifier en priorité les comptes de console, de diffusion en direct, de tournoi et de paiement associés à la même adresse e-mail. L’historique des sessions, les appareils inconnus, l’ajout de nouveaux moyens de paiement et les changements de nom d’utilisateur doivent être examinés sur ces comptes. Une fuite de données ancienne chez une marque de matériel ne compromet pas directement le compte de jeu. Toutefois, la réutilisation des mots de passe et le rapprochement des identités peuvent offrir un point de départ aux attaquants.

C’est pourquoi il faut également fermer ou mettre à jour régulièrement les anciens comptes d’achat et de vente de jeux.