Clash of Kings Vazamento de dados

No vazamento do fórum do Clash of Kings, endereços de e-mail, nomes de usuário, endereços IP e hashes de senhas foram expostos em conjunto. O endereço de e-mail e o nome de usuário permitem que invasores encontrem contas e enviem mensagens direcionadas. Embora o endereço IP não forneça um endereço residencial exato, ele pode dar pistas sobre a região de conexão, o provedor ou o histórico de sessões do usuário. No contexto de um fórum de jogos, essas informações podem ser usadas para criar mensagens falsas e personalizadas sobre eventos, presentes, verificação de conta ou convites para clãs.

O armazenamento de hashes de senhas com MD5 é o risco técnico mais significativo deste incidente. O MD5 é um método de cálculo rápido que hoje é considerado fraco; senhas curtas, comuns ou reutilizadas, em particular, podem ser descobertas rapidamente por meio de tentativas. Se o usuário usou a mesma senha no e-mail, em contas de jogos, redes sociais, lojas de jogos ou outros fóruns, o impacto do vazamento pode não se limitar à conta do fórum. Para usuários com informações de contato em redes sociais, há ainda o risco de associar a identidade usada no fórum de jogos ao perfil na rede social.

O número de contas verificadas neste registro é 1.604.957, e a data do incidente está registrada como 14 de julho de 2016. O escopo compreende endereços de e-mail, endereços IP, nomes de usuário e hashes de senhas de usuários do fórum do Clash of Kings. Algumas publicações mencionaram campos vinculados a redes sociais, como dados de perfil do Facebook ou tokens de acesso. Por isso, perfis de redes sociais e tokens de acesso são considerados um risco adicional limitado entre as categorias de dados. Não se deve presumir que esses campos estejam presentes para todos os usuários.

Neste registro, dados de cartões de pagamento, contas bancárias, nomes reais, endereços físicos, números de telefone, histórico de compras dentro do jogo ou informações de identificação oficial não são categorias de dados verificadas. O impacto de violações de dados do fórum sobre as contas dentro do jogo depende do comportamento do usuário: o risco aumenta se a mesma senha ou o mesmo e-mail foi usado, e a probabilidade de tomada direta da conta diminui se uma senha diferente foi usada. A explicação não deve confundir dados do fórum com dados de pagamentos dentro do jogo ou da conta principal do jogo. O risco real para o usuário deve ser apresentado em termos de reutilização de senhas, identidade na comunidade de jogadores e conexões com redes sociais.

Os jogadores mais expostos ao risco são aqueles que também usam em outras contas a senha utilizada no fórum do Clash of Kings. Contas de jogos, de e-mail, de redes sociais e de lojas de jogos devem ser verificadas primeiro. Quem reutiliza o nome de jogador em diferentes jogos ou fóruns também corre o risco de ter seus perfis associados. Um invasor pode pesquisar o mesmo nome de usuário, encontrar contas em outras plataformas e preparar mensagens de phishing mais personalizadas.

Para usuários cujos endereços IP estão visíveis, o risco está mais ligado à privacidade e ao direcionamento de ataques do que diretamente ao roubo de identidade. A região de conexão e os hábitos de jogo on-line podem ser usados em mensagens falsas de suporte ou anúncios de campanhas regionais. Usuários com campos vinculados ao Facebook também podem correr o risco de ter sua identidade no fórum de jogos associada ao perfil na rede social. Isso pode causar perda de privacidade, especialmente para quem deseja manter seu apelido separado da vida pessoal.

A senha usada no fórum do Clash of Kings não deve mais ser considerada segura. Os usuários devem primeiro definir senhas novas e exclusivas para suas contas do fórum e do jogo e, em seguida, para todas as contas em que usaram a mesma senha ou uma senha semelhante. A conta de e-mail é prioritária, pois os links de redefinição de senha das contas de jogos e fóruns geralmente são enviados por e-mail. O uso de um gerenciador de senhas facilita a criação de senhas diferentes e longas para cada serviço.

Se o acesso é feito com uma conta de rede social, os aplicativos conectados e as permissões de sessão devem ser verificados. Conexões desconhecidas ou que não são mais usadas devem ser removidas. Os usuários devem ter cuidado com links em mensagens sobre Clash of Kings, recompensas do jogo, verificação de conta, recursos gratuitos, cupons de eventos ou convites para clãs. Nenhuma equipe de suporte de jogos deve pedir a senha atual ou o código de verificação do usuário em uma mensagem. Mensagens suspeitas devem ser conferidas também pelo aplicativo oficial ou por um domínio conhecido.

Embora os fóruns de jogos muitas vezes pareçam separados da conta principal do jogo, eles fazem parte da cadeia de segurança quando o mesmo e-mail e a mesma senha são usados. A longo prazo, os jogadores devem usar senhas diferentes para cada conta de jogo, fórum e rede social e ativar a autenticação multifator sempre que possível. A reutilização de apelidos em diferentes plataformas aumenta o risco de associação entre perfis. Os usuários devem reduzir essa reutilização se quiserem separar a vida pessoal da identidade que usam nos jogos.

Para empresas de jogos e gestores de comunidades, é fundamental manter o software do fórum atualizado, armazenar hashes de senhas com métodos robustos e proteger rigorosamente as conexões de login via redes sociais. Infraestruturas antigas de fóruns podem se tornar um elo fraco para grandes comunidades de jogadores. Do ponto de vista dos usuários, a estratégia mais prática é não tratar a conta do fórum como uma conta de pouco valor, mas considerá-la parte de uma cadeia de identidade que protege os bens virtuais dentro do jogo e os perfis nas redes sociais.

Uma correspondência encontrada neste registro indica que o endereço de e-mail em questão está entre as contas associadas ao vazamento de dados do fórum do Clash of Kings. Uma correspondência não significa que informações de pagamento ou documentos de identidade estejam incluídos no escopo verificado deste registro. O risco verificado está relacionado ao e-mail, ao endereço IP, ao nome de usuário, ao hash de senha e, para alguns usuários, a campos vinculados a redes sociais. O usuário deve primeiro identificar em quais outras contas usou a mesma senha.

Depois de alterar as senhas, é necessário verificar o histórico de login das contas de e-mail, de jogos e de redes sociais. Sessões desconhecidas devem ser encerradas, os aplicativos conectados devem ser revisados e os alertas de segurança devem permanecer ativados. Mensagens que prometem presentes dentro do jogo, recursos gratuitos ou verificação de conta devem ser conferidas pelos canais oficiais, mesmo que pareçam legítimas. Embora este incidente seja um vazamento antigo de um fórum, seus efeitos podem continuar muitos anos depois devido à reutilização de senhas e à associação de contas pelo nome de usuário.