Dueling Network Vazamento de dados

O elemento mais crítico do registro do Dueling Network são os dados de senhas. Mesmo quando as senhas são armazenadas como hashes MD5, quebrar o hash pode ser viável no caso de senhas fracas ou reutilizadas. Um hash de senha encontrado junto com um nome de usuário e um endereço de e-mail oferece ao invasor um ponto de partida sólido para tentativas de credential stuffing. Em particular, se a mesma senha foi usada em uma conta de jogo, fórum, e-mail, rede social ou serviço de pagamento, um único vazamento antigo de fórum pode se transformar em um problema de segurança de contas muito mais amplo.

Endereços IP, por si só, não são prova definitiva de identidade; no entanto, quando analisados junto com o nome da conta e o e-mail, podem fornecer informações sobre a região de onde o usuário se conecta, indícios sobre seu provedor de serviços ou padrões de sessões anteriores. Os nomes de usuário também são importantes, pois jogadores podem usar o mesmo apelido em diferentes jogos, transmissões, fóruns ou plataformas sociais. Essa associação torna as mensagens de phishing direcionado mais convincentes e abre caminho para tentativas de engenharia social contra novas contas, explorando o histórico de contas antigas.

O escopo verificado deste registro é de 6.486.626 cadastros de contas. Esse número não deve ser interpretado como uma contagem exata de pessoas distintas: pode haver várias contas pertencentes à mesma pessoa, contas inativas ou registros duplicados, especialmente em fóruns mais antigos. Portanto, a descrição correta é que foram expostos dados de contas de milhões de jogadores e usuários de fóruns. A data do incidente deve ser considerada 29 de março de 2017, e datas posteriores de verificação ou arquivamento não devem ser apresentadas como a data em que o vazamento ocorreu.

Os campos de dados verificados são endereço de e-mail, endereço IP, hash de senha e nome de usuário. Campos adicionais, como nome completo, número de telefone, endereço físico, cartão de pagamento, histórico de compras dentro do jogo ou conteúdo de mensagens privadas, não fazem parte dos tipos de dados verificados neste registro. Essa delimitação deve ser mantida explicitamente no texto, pois descrições exageradas sobre contas antigas de jogos e fóruns podem induzir o usuário ao erro. Uma avaliação segura deve se concentrar nos riscos relacionados às informações de identidade e à associação entre contas.

O grupo de maior risco é formado por pessoas que reutilizam a senha da conta do Dueling Network em outros serviços. Senhas usadas em fóruns antigos de jogos podem ter sido reutilizadas com frequência em e-mail, redes sociais, streaming, compras ou outras plataformas de jogos. Nesse caso, um invasor pode tentar assumir o controle de contas testando combinações de e-mails e nomes de usuário vazados em diferentes serviços. Mesmo que o hash da senha não seja quebrado, a associação entre o nome de usuário e o e-mail pode fornecer contexto suficiente para mensagens de phishing direcionado.

O segundo grupo de risco é formado por pessoas que usam o mesmo nome de usuário em diferentes comunidades há muitos anos. Quando um identificador de jogador, um apelido de fórum e um endereço de e-mail aparecem juntos, é possível vincular os diferentes perfis online de uma pessoa. Ao acrescentar o endereço IP a esse conjunto, invasores podem tentar deduzir a localização do usuário, seus hábitos de conexão ou informações sobre seu provedor de serviços. O risco é maior para usuários cadastrados com um endereço de e-mail corporativo, pois uma conta antiga de jogo pode fornecer um contexto aparentemente confiável para tentativas de phishing contra a conta de trabalho.

Se você reutilizou a senha da conta do Dueling Network em qualquer outra conta, altere-a imediatamente. Priorize contas de e-mail, redes sociais, lojas de jogos, contas vinculadas a pagamentos e perfis de fóruns criados com o mesmo nome de usuário. As novas senhas devem ser únicas, longas e aleatórias; apenas acrescentar um número ou símbolo ao final da senha antiga não deve ser considerado suficiente. Usar um gerenciador de senhas facilita a criação de senhas diferentes e fortes para cada serviço.

Se as contas oferecerem verificação em duas etapas, ative-a. Proteja especialmente a conta de e-mail, pois os links de redefinição de senha de muitos serviços são enviados por e-mail. Tenha cuidado com links de login, alertas de redefinição de senha e mensagens de verificação de conta que usem o Dueling Network ou contas antigas de jogos como pretexto. Revise também as contas antigas de fóruns cadastradas com o mesmo endereço de e-mail, encerre as que não usa ou altere suas senhas.

Este incidente mostra que até contas de serviços encerrados ou que você não usa mais podem afetar sua segurança. Revise regularmente seus cadastros antigos, encerre contas de fóruns e jogos que não usa mais ou, ao menos, mantenha-as separadas das demais com senhas únicas. Usar o mesmo endereço de e-mail em muitas comunidades durante anos facilita a associação entre perfis quando ocorre um vazamento. Por isso, usar aliases de e-mail separados para diferentes finalidades reduz o risco no longo prazo.

No ambiente corporativo, deve-se restringir o uso do e-mail de trabalho pelos funcionários em fóruns pessoais e contas de jogos. Combinações de nome de usuário, e-mail e hash de senha provenientes de vazamentos antigos podem ser usadas em tentativas automatizadas contra sistemas de login corporativos. As equipes de segurança devem considerar esses vazamentos antigos não apenas como registros históricos, mas também como um indicador de risco que permite avaliar a reutilização de senhas e a conscientização dos funcionários. Como o impacto de senhas armazenadas com algoritmos de hash fracos pode persistir por muito tempo, as políticas de redefinição de senha e autenticação multifator devem ser mantidas atualizadas.

Se seu endereço de e-mail aparecer neste registro, primeiro relembre as senhas que você usava na época em que utilizava o Dueling Network e altere a senha de todas as contas em que ela foi reutilizada. Mesmo que o serviço antigo esteja encerrado, as mesmas credenciais podem funcionar em outras contas. Verifique se há logins desconhecidos, regras de encaminhamento e mensagens de redefinição de senha na sua conta de e-mail. Se você usava o mesmo nome de usuário em comunidades de jogos, plataformas de streaming e fóruns, revise também o histórico de login e as configurações de segurança dessas contas.

A medida adequada diante deste vazamento é eliminar a reutilização de credenciais, sem entrar em pânico. Os dados vazados não confirmam a presença de campos como cartões de pagamento ou endereços físicos; ainda assim, a combinação de e-mail, nome de usuário, endereço IP e senha armazenada com um hash fraco é suficientemente grave para a segurança das contas. Use senhas únicas, ative a autenticação de dois fatores, não clique em mensagens suspeitas e encerre regularmente contas antigas. Essas medidas reduzem significativamente o risco de que a ameaça relacionada ao Dueling Network se estenda a outras contas.