Fuite de données chez Zynga

Les catégories de données vérifiées pour cet incident sont les adresses e-mail, les mots de passe, les numéros de téléphone et les noms d’utilisateur. Selon les informations rapportées, les données de mots de passe sont associées à des valeurs SHA-1 salées, plutôt qu’à des mots de passe en clair. Un risque subsiste néanmoins pour les mots de passe anciens ou réutilisés. La présence d’une adresse e-mail et d’un nom d’utilisateur dans un même jeu de données permet aux attaquants de créer plus facilement des messages ressemblant à ceux envoyés par de véritables profils de joueurs. Les comptes associés à un numéro de téléphone peuvent être exposés à des risques supplémentaires, tels que de faux appels d’assistance, des escroqueries par SMS et des tentatives de récupération de compte. La présence d’informations financières n’est pas confirmée dans le périmètre de l’incident. Toutefois, l’accès aux comptes, l’identité en jeu, les liens sociaux et l’utilisation du même mot de passe ailleurs créent des risques indirects pour des services plus critiques.

L’incident Zynga concerne un vaste ensemble de données d’utilisateurs associées aux comptes de jeux sociaux de l’entreprise. L’activité principale confirmée de l’entreprise concerne les jeux en ligne et sur mobile. Le secteur d’activité à retenir est donc celui des jeux sociaux et du développement de jeux mobiles, et non celui du commerce de détail. Le nombre de comptes touchés a été vérifié : il s’agit de 172 869 660 comptes uniques. Les champs de données se limitent aux adresses e-mail, aux mots de passe, aux numéros de téléphone et aux noms d’utilisateur. Bien que des chiffres plus élevés ou d’autres champs aient été évoqués dans la presse, seules les catégories vérifiées doivent figurer dans les rapports destinés aux utilisateurs. Cette distinction ne réduit pas le risque lié à la fuite, mais elle évite d’exagérer inutilement le nombre d’enregistrements, les dates ou l’étendue des champs de données concernés.

Le risque est le plus élevé pour les personnes qui utilisent dans les jeux Zynga la même adresse e-mail et un mot de passe identique ou similaire à ceux utilisés sur d’autres plateformes. Dans les jeux sociaux comme Words With Friends, Draw Something et d’autres jeux similaires, les listes d’amis, les pseudonymes en jeu et les liens sociaux peuvent permettre aux attaquants d’envoyer des messages personnalisés. Les comptes de jeux créés depuis longtemps puis oubliés méritent eux aussi une attention particulière, car leurs anciens mots de passe ont souvent pu être réutilisés sur d’autres services. Les utilisateurs dont le numéro de téléphone figure dans les données doivent se montrer plus vigilants face aux faux messages de récupération de compte et aux faux appels d’assistance. Les risques pour la vie privée et la sécurité des comptes sont plus étendus pour les enfants, les personnes qui partagent des appareils avec leur famille et les utilisateurs qui associent leurs jeux sociaux à Facebook ou à des services similaires.

Les utilisateurs concernés doivent d’abord remplacer le mot de passe de leur compte Zynga par un mot de passe unique et robuste. Si un mot de passe identique ou similaire a été utilisé pour un autre compte de jeu, de messagerie, de réseau social, d’achat en ligne ou de service financier, sa modification doit également être prioritaire. Un gestionnaire de mots de passe vous permet de repérer rapidement les mots de passe réutilisés et d’en générer un unique pour chaque service. Vous devez vérifier l’adresse e-mail et le numéro de téléphone utilisés pour la récupération du compte, puis supprimer les comptes associés que vous ne reconnaissez pas. Si un message semble provenir de Zynga ou de l’assistance d’un jeu, vérifiez l’adresse de l’expéditeur avant de cliquer sur un lien. Une vigilance accrue s’impose face aux messages de vérification par SMS, aux offres de récompenses ou de cadeaux et aux alertes concernant un compte, car le numéro de téléphone peut avoir été compromis.

À long terme, les comptes de jeux doivent être protégés avec autant de soin que les comptes de messagerie principaux et les comptes de services financiers. Utilisez un mot de passe unique pour chaque service de jeu et activez la vérification en plusieurs étapes dès que possible. Pensez régulièrement à fermer les anciens comptes de jeux ou à renouveler leurs mots de passe. L’utilisation du même nom d’utilisateur sur plusieurs plateformes permet aux attaquants de rapprocher plus facilement les comptes. Il peut donc être préférable d’utiliser des noms d’utilisateur différents et des adresses e-mail distinctes pour les comptes sensibles. Au sein des familles, les parents doivent vérifier l’adresse e-mail, les informations de paiement et les paramètres de connexion aux réseaux sociaux des comptes de jeux utilisés par les enfants. Pour les organisations, il est également important de mettre en place des politiques de contrôle des mots de passe empêchant les employés d’utiliser dans les systèmes professionnels des mots de passe divulgués à la suite de fuites touchant leurs comptes de jeux personnels.

Lorsqu’un résultat Zynga apparaît sur LeakData, cela signifie que l’adresse e-mail figure dans le jeu de données Zynga de 2019. La présence de cette adresse, lorsqu’elle est évaluée conjointement avec les données de nom d’utilisateur et de mot de passe, accroît le risque de prise de contrôle du compte. Vous devez d’abord vérifier votre compte Zynga et les comptes de jeux associés, puis les autres comptes créés avec la même adresse e-mail. Donnez la priorité aux services sur lesquels vous utilisez le même mot de passe, à votre compte de messagerie, aux réseaux sociaux, aux boutiques de jeux et aux comptes associés à des moyens de paiement. La date de notification ne doit pas être confondue avec celle de la fuite : l’incident s’est principalement déroulé en septembre 2019, tandis que la date d’ajout vérifiée se situe en décembre 2019. Cette distinction est nécessaire pour que la chronologie réelle du risque s’affiche correctement sur l’écran « Sécurité des comptes ».