VNG Fuite de données

Les catégories de données de référence sont les dates de naissance, les adresses e-mail, le genre, les adresses IP, la situation matrimoniale, les noms, les professions, les mots de passe, les numéros de téléphone, les adresses postales et les noms d’utilisateur. Les mots de passe étaient hachés avec MD5 sans sel, ce qui ne protège pas suffisamment les mots de passe faibles contre les tentatives visant à deviner les mots de passe hors ligne.

Cet ensemble étendu d’informations de profil peut faciliter l’hameçonnage ciblé, les escroqueries par SMS, le détournement des procédures de récupération de compte et les tentatives de prise de contrôle de comptes fondées sur la réutilisation des mots de passe. Les cartes de paiement, les comptes bancaires, les documents d’identité et les messages privés ne font pas partie des catégories de données vérifiées pour cette fiche.

La date de référence de la violation est le 19 mai 2015. Une annonce publiée sur un forum en avril 2018 affirmait qu’une archive de 7,55 GB contenait 163 666 400 lignes Zing ID; ce nombre de lignes brutes ne correspond pas à la même mesure que les 24 853 850 adresses e-mail uniques de référence. VNG a déclaré avoir relevé en 2015 que 160 millions de Zing ID pouvaient être menacés, avoir mis en œuvre des mesures techniques pour limiter les conséquences et avoir constaté que l’exposition réelle se concentrait sur les clients de ses jeux, sans toucher ses autres produits. L’entreprise a également indiqué qu’environ 99% des comptes étaient inactifs depuis plus d’un an. Le point d’entrée technique précis n’a pas été rendu public.

Les personnes disposant d’un compte Zing ID ou d’un compte de jeu VNG sont les plus exposées aux risques, en particulier celles qui ont réutilisé le même nom d’utilisateur et le même mot de passe ailleurs. Le rapprochement des noms, dates de naissance, professions, situations matrimoniales, numéros de téléphone et adresses peut aider les attaquants à rédiger des messages personnalisés. Les adresses e-mail et IP peuvent quant à elles faciliter le rapprochement entre comptes et les tentatives de connexion.

Remplacez votre ancien mot de passe Zing ID ou VNG, ainsi que celui de chaque compte sur lequel vous avez utilisé un mot de passe identique ou similaire. Utilisez un mot de passe unique pour chaque service, sécurisez d’abord votre compte de messagerie, fermez les sessions actives et activez la vérification en deux étapes lorsqu’elle est disponible. Vérifiez par un canal indépendant l’authenticité des messages inattendus contenant des informations sur votre numéro de téléphone, votre adresse ou votre profession.

Utilisez un gestionnaire de mots de passe pour générer un mot de passe différent pour chaque compte, et fermez les comptes de jeu ou de portail que vous n’utilisez plus. Ne conservez que les informations nécessaires dans les champs de profil et restez à l’affût des tentatives d’hameçonnage et des notifications de récupération de compte faisant intervenir des données difficiles à modifier, comme les adresses postales, les numéros de téléphone et les dates de naissance.

Vérifiez si l’adresse e-mail que vous utilisiez pour Zing ID ou VNG figure dans les données associées à cette fiche. Une correspondance signifie que l’adresse figure dans le jeu de données VNG de référence; elle ne signifie pas que les 163 millions de lignes revendiquées dans l’annonce du forum représentaient toutes des utilisateurs distincts ou actifs. Si le résultat est positif, remplacez l’ancien mot de passe de votre compte de jeu partout où vous l’avez réutilisé.