Dungeons & Dragons Online Vazamento de dados

Os tipos de dados verificados são datas de nascimento, endereços de e-mail, endereços IP, nomes de usuário, atividades no site e hashes de senhas. A combinação de e-mail e nome de usuário pode facilitar a associação de uma pessoa a outros fóruns de jogos, plataformas sociais ou contas em comunidades. Datas de nascimento podem ser usadas em mensagens de engenharia social com temas de recuperação de conta ou verificação de idade. Endereços IP podem fornecer um contexto aproximado de rede e localização. As atividades no site podem fornecer informações adicionais sobre como o usuário interage com ele.

Hashes de senhas não são senhas em texto simples; no entanto, não se pode considerar o risco nulo quando o tipo de hash e a força da senha são desconhecidos. Senhas fracas ou reutilizadas ainda podem ser usadas em listas para tentativas automatizadas, mesmo anos depois. Contas de jogos podem ser especialmente visadas porque os jogadores podem reutilizar o mesmo nome de usuário em fóruns, clientes de jogos, plataformas de bate-papo e redes sociais. Por isso, o vazamento de dados de Dungeons & Dragons Online é importante não apenas como um registro antigo de um jogo, mas também pela cadeia de reutilização de nomes de usuário e senhas.

A data verificada do incidente é 2 de abril de 2013. O registro foi incluído nas listas de vazamentos verificados em 12 de março de 2016. O número de contas afetadas é mantido em 1.580.933; alguns relatos podem usar a expressão aproximadamente 1,6 milhão de contas de jogadores. Esta página se baseia no número total de registros usados na consulta. O escopo abrange dados de contas e do site associados a Dungeons & Dragons Online; não deve ser confundido com a marca como um todo, com o produto de interpretação de papéis de mesa ou com outros serviços de jogos.

Os limites devem permanecer em aberto. Neste registro, cartões de pagamento, contas bancárias, documentos oficiais de identificação, endereços físicos, números de telefone, inventários de itens do jogo e conteúdo de conversas privadas não são categorias de dados verificadas. O campo de senha também deve ser tratado como um hash de senha, e não como texto simples. As atividades no site se referem às ações do usuário relacionadas ao site; não se deve presumir que o mesmo nível de detalhe esteja disponível para todos os usuários. A descrição dos riscos deve se limitar a esses campos verificados.

O grupo de maior risco é formado por jogadores que tinham uma conta de Dungeons & Dragons Online ou uma conta relacionada no site antes de 2013. Pessoas que usam o mesmo nome de usuário nos fóruns de DDO, em outras comunidades de jogos, em aplicativos de bate-papo ou em redes sociais podem ter seus perfis traçados com mais facilidade. Informações de data de nascimento e e-mail podem ser usadas em mensagens falsas de recuperação de conta ou em alertas sobre contas antigas do jogo. O endereço IP também pode ajudar a personalizar a mensagem com referências locais.

Jogadores que reutilizam a mesma senha em diferentes serviços também estão em risco. Mesmo que a senha antiga de DDO permaneça em uma conta que não parece estar ativa hoje, essa mesma senha pode continuar em uso em contas de e-mail, lojas de jogos, outras contas de MMO ou fóruns. Contas de jogos às vezes ficam esquecidas por muito tempo; ainda assim, podem ser valiosas para invasores por causa das listas de amigos, do histórico de jogo, da reputação do nome de usuário e do e-mail vinculado. Por esse motivo, as senhas antigas de jogos devem ser revisadas junto com as contas ativas.

Se a senha antiga usada em Dungeons & Dragons Online estiver em uso em qualquer outra conta, ela deve ser alterada imediatamente. Se a mesma senha ou uma senha semelhante tiver sido usada em contas de e-mail, lojas de jogos, redes sociais, fóruns ou serviços de mensagens, cada conta deve receber uma senha exclusiva. A conta principal de e-mail deve ser protegida com autenticação de dois fatores. Se ainda for possível acessar a conta antiga do jogo, devem ser verificados o e-mail vinculado, as configurações de recuperação e o histórico de sessões.

É preciso ter atenção a mensagens sobre verificação de contas do jogo, personagens antigos, suspensão de conta, itens gratuitos, sessões suspeitas ou redefinição de senha. Mesmo que a mensagem apresente corretamente o nome de usuário, a data de nascimento ou informações sobre o jogo antigo, ela não deve ser considerada confiável. Em vez de clicar no link, acesse diretamente o endereço do serviço correspondente. Neste caso, como as informações de pagamento não foram verificadas, é necessário priorizar a segurança da redefinição de senha, a proteção da conta de e-mail e a verificação das contas em comunidades de jogos, em vez de entrar em pânico com possíveis consequências financeiras.

A longo prazo, contas de jogos, contas de fóruns e a conta principal de e-mail devem ser protegidas com senhas diferentes. Usar um gerenciador de senhas evita que senhas antigas de jogos continuem em uso em outras contas. Repetir o mesmo nome de usuário em todas as plataformas aumenta o risco de associação entre perfis; para contas importantes, dê preferência a nomes de usuário diferentes e métodos de verificação robustos. Contas de jogos e fóruns que não são mais usadas devem ser encerradas ou, pelo menos, atualizadas com senhas fortes.

Para os administradores de plataformas, este incidente mostra que as contas de comunidades de jogadores não devem ser vistas apenas como contas de entretenimento. Campos como data de nascimento, endereço IP, nome de usuário e atividades no site devem ser protegidos como dados pessoais. Hashes de senhas devem ser armazenados com métodos robustos, sistemas antigos de fóruns e contas devem ser mantidos atualizados, o acesso aos dados dos usuários deve ser restrito e movimentações incomuns de dados devem ser monitoradas. Mesmo que as contas de jogos pareçam pouco importantes, a reutilização de senhas pode afetar outras contas do usuário.

Se você encontrar uma correspondência neste registro, sua conta pode estar entre os 1.580.933 registros associados ao vazamento de dados de Dungeons & Dragons Online. Uma correspondência não significa que suas informações de pagamento, seus itens do jogo ou suas conversas privadas tenham vazado. Os campos verificados são data de nascimento, e-mail, endereço IP, nome de usuário, atividades no site e hash de senha. O primeiro passo é identificar em quais outros serviços você reutilizou a senha que usava em DDO por volta de 2013.

Se você ainda usa sua senha antiga de DDO em outras contas, altere-a. Ative a verificação em duas etapas na sua conta de e-mail, atualize as informações de recuperação das suas contas de jogos e tenha cautela com mensagens personalizadas que venham do mesmo nome de usuário. A abordagem correta para o vazamento de dados de Dungeons & Dragons Online não é exagerar o incidente como se todo o inventário do jogo ou os dados de pagamento tivessem vazado, mas resolver os riscos da reutilização de senhas antigas e proteger as contas em comunidades de jogos com base nos campos de conta verificados.