Vazamento de dados de EpicBot

A combinação do endereço de e-mail, nome de usuário e endereço IP registrados no EpicBot pode ser usada para relacionar perfis em comunidades de jogos. Usuários de bots para RuneScape podem ter reutilizado o mesmo nome de usuário em fóruns de jogos, painéis de bots, servidores de bate-papo ou contas em redes sociais. Isso ajuda o invasor a identificar a pessoa em diferentes plataformas e preparar mensagens direcionadas.

Os hashes de senha estão entre os pontos mais críticos. MD5 com salt e bcrypt não oferecem o mesmo nível de segurança: enquanto o bcrypt é considerado mais lento e resistente, o MD5 com salt pode ser atacado com mais facilidade. O usuário pode não conseguir identificar, no conjunto de dados, qual método de hash foi usado em cada registro. Por isso, uma abordagem segura é garantir que a senha usada na conta do EpicBot não seja usada em nenhuma outra conta. Se a mesma senha for reutilizada, contas de jogos, e-mail, redes sociais e contas vinculadas a pagamentos podem estar em risco.

O escopo principal confirmado deste registro é de 816.662 contas. A data do incidente consta como 1 de setembro de 2019; a circulação posterior dos dados ou sua inclusão em listas de vazamentos não significa que o vazamento tenha ocorrido em uma data mais recente. A data exibida ao usuário é a data do vazamento associada ao incidente. Essa distinção evita interpretações equivocadas quando aparecem diferentes datas de inclusão na tela Segurança da conta.

As categorias de dados confirmadas são e-mail, endereço IP, senha e nome de usuário. Número de telefone, endereço físico, cartão de pagamento, nome e sobrenome reais, inventário da conta do jogo, saldo de moeda do jogo e conteúdo de mensagens privadas não estão entre os campos confirmados deste registro. O fato de o EpicBot ser um fornecedor de bots para RuneScape não deve levar à conclusão de que o conteúdo da conta do jogo ou a conta principal do usuário no jogo tenha sido diretamente exposto. A descrição correta deve se concentrar no risco para a conta do serviço de bots e suas credenciais.

O grupo de maior risco é formado por usuários que reutilizam em outras contas a senha usada na conta do EpicBot. Usuários com atuação técnica em comunidades de bots para jogos podem ter usado o mesmo endereço de e-mail em fóruns de jogos, ferramentas de desenvolvimento, carteiras de criptomoedas ou serviços de acesso remoto. Nesse caso, o vazamento de uma conta antiga de um serviço de bots pode abrir caminho para tentativas de usar essas credenciais em outras contas.

Quem usa o mesmo nome de usuário em diferentes comunidades de jogos corre o risco de ter seus perfis relacionados entre si. O campo de endereço IP também pode permitir inferências limitadas sobre a região da conexão ou o provedor de serviços. Por usar um serviço de bots, o usuário pode ser alvo de mensagens com temas como falsos avisos de banimento, notificações de segurança da conta, recuperação de bens no jogo ou links para renovação de licenças de bots. Essas mensagens podem parecer mais convincentes quando usam o contexto de um incidente real.

Se o seu endereço de e-mail aparecer no registro do EpicBot, verifique imediatamente se a senha que você usou nessa conta está sendo reutilizada em outras contas. Se você tiver usado a mesma senha ou uma senha semelhante em contas de e-mail, jogos, fóruns, redes sociais, carteiras ou pagamentos, altere-a imediatamente. As novas senhas devem ser únicas, longas e aleatórias, e devem ser armazenadas em um gerenciador de senhas. Acrescentar um número ao final da senha antiga não é suficiente.

Tenha cuidado com mensagens de segurança relacionadas a jogos e bots. Mensagens sobre banimento de contas, licenças de bots, bens no jogo, assinaturas gratuitas ou verificação urgente de senha podem ser falsas. Em vez de clicar no link, acesse o serviço diretamente pelo endereço oficial. Ative a autenticação de dois fatores nas contas que oferecem essa proteção. Verifique se há sessões, regras de encaminhamento ou endereços de recuperação desconhecidos na sua conta de e-mail.

O incidente do EpicBot mostra que contas de bots para jogos e de comunidades de nicho devem ser gerenciadas com o mesmo cuidado que as contas principais de e-mail e de jogos. Os usuários devem usar senhas diferentes para contas de bots, fóruns e comunidades de jogos e, se possível, optar por aliases de e-mail distintos. Usar o mesmo nome de usuário em todos os lugares aumenta o risco de associação entre perfis; usar nomes de usuário diferentes para finalidades diferentes enfraquece essa ligação.

Para a plataforma, a lição de longo prazo é manter os métodos de armazenamento de senhas atualizados de acordo com os padrões vigentes. O bcrypt pode ser uma opção robusta se for configurado corretamente; o MD5 com salt já não deve ser considerado suficiente. Dados de contas antigas não devem ser mantidos sem necessidade, os acessos ao banco de dados devem ser monitorados e os softwares de fóruns ou painéis devem ser atualizados regularmente. Para o usuário, deixar de reutilizar senhas evita que os riscos desses registros antigos se estendam a outras contas.

Se o seu endereço de e-mail aparecer neste registro, não conclua que a sua senha foi definitivamente publicada em texto simples; ainda assim, usar a mesma senha em outros serviços não é seguro devido ao risco associado aos hashes MD5 com salt ou bcrypt. A combinação de e-mail, nome de usuário e endereço IP pode ser usada para relacionar seus perfis em comunidades de jogos e enviar mensagens direcionadas. Por isso, evite reutilizar senhas, ative a autenticação de dois fatores em contas importantes e não clique em links suspeitos.

A atitude correta é não tratar uma conta de serviço de bots como um registro antigo e sem importância. Verifique suas contas de jogos, sua conta de e-mail e as contas de fóruns criadas com o mesmo nome de usuário. Encerre contas que você não usa, adote senhas únicas e não responda a mensagens ameaçadoras relacionadas a bots ou jogos sem verificá-las por um canal oficial. O vazamento de dados do EpicBot mostra que até contas de ferramentas de nicho para jogos podem representar riscos de longo prazo para a privacidade das credenciais e dos perfis.