EpicNPC Vazamento de dados

O endereço de e-mail e o nome de usuário presentes no registro do EpicNPC podem ser usados para correlacionar perfis de pessoas que negociam contas de jogos em diferentes plataformas. O usuário pode ter repetido o mesmo apelido em fóruns de jogos, contas de marketplaces, perfis de redes sociais ou servidores de mensagens. O endereço IP também pode permitir inferências limitadas sobre a região de conexão ou o provedor de serviços. Quando usados em conjunto, esses campos tornam as mensagens direcionadas mais convincentes.

O fato de os dados de senha estarem na forma de hashes MD5 com salt não significa que todas as senhas tenham sido expostas em texto simples; no entanto, devido à rapidez do MD5, o risco é alto para senhas fracas. Se a mesma senha for usada no e-mail, em contas de jogos, redes sociais, marketplaces ou contas vinculadas a pagamentos, invasores podem testar essa combinação em outros serviços. No contexto da compra e venda de contas de jogos, mensagens sobre falsos serviços de intermediação, recuperação de contas ou contestações de pagamentos também representam riscos adicionais.

O escopo principal verificado deste registro é de 408.795 contas. A data do incidente consta como 2 de janeiro de 2016; o fato de o registro ter sido adicionado a sistemas de consulta de vazamentos anos depois não significa que o vazamento tenha ocorrido em uma data mais recente. A data correta a ser exibida ao usuário é a do incidente de 2016 associado ao conjunto de dados. Essa distinção entre as datas evita que vazamentos antigos exibidos na tela Segurança da conta sejam confundidos com um incidente atual.

As categorias de dados verificadas são e-mail, endereço IP, senha e nome de usuário. Número de telefone, endereço físico, cartão de pagamento, informações bancárias, mensagens privadas, histórico de negociações, inventário de contas de jogos e saldo de moeda no jogo não estão entre os campos verificados deste registro. O fato de o EpicNPC ser um marketplace não permite presumir que os usuários tenham sofrido perdas financeiras ou de ativos nos jogos. Uma descrição precisa deve se concentrar nas credenciais das contas e no risco de correlação de perfis.

O grupo de maior risco é formado por usuários que reutilizam a senha da conta do EpicNPC em outras contas. Pessoas que compram e vendem contas de jogos podem ter usado o mesmo endereço de e-mail em lojas de jogos, marketplaces, fóruns, plataformas de mensagens ou serviços de pagamento. Nesse caso, um vazamento antigo de um fórum pode ser usado em tentativas de acesso a contas de jogos mais valiosas ou à conta principal de e-mail.

O risco de correlação de perfis também é alto para pessoas que usam o mesmo nome de usuário em diferentes comunidades de jogos. Um invasor pode tentar deduzir quais jogos o usuário negocia ou seu histórico no marketplace e enviar mensagens falsas relacionadas a intermediários, segurança da conta, disputas entre compradores e vendedores ou verificação de pagamentos. Para usuários cadastrados com um endereço de e-mail corporativo, o risco pode se manifestar em mensagens de phishing direcionadas, que passam de uma conta pessoal de negociação de jogos para uma conta profissional.

Se o seu endereço de e-mail aparece no registro do EpicNPC, o primeiro passo é verificar se a senha usada nessa conta foi reutilizada em outras contas. Se você usou a mesma senha, ou uma semelhante, em contas de e-mail, lojas de jogos, redes sociais, marketplaces, serviços de mensagens ou contas vinculadas a pagamentos, altere-a imediatamente. As novas senhas devem ser únicas, longas e aleatórias e devem ser armazenadas em um gerenciador de senhas.

Preste atenção especial a mensagens relacionadas à negociação de contas de jogos. Mensagens sobre falsos serviços de intermediação, recuperação de contas, disputas de vendas, banimento de contas, verificação de pagamentos ou links para negociações seguras podem ser tentativas de phishing. Em vez de clicar no link, acesse a conta correspondente diretamente pelo endereço oficial. Ative a autenticação de dois fatores nas contas que oferecem essa proteção e verifique se há sessões desconhecidas na sua conta de e-mail.

O incidente do EpicNPC mostra que contas de marketplaces e fóruns de jogos devem ser mantidas separadas das contas principais de e-mail e de jogos. Os usuários devem usar senhas diferentes para contas de negociação, fóruns, lojas de jogos e e-mail pessoal. Usar o mesmo nome de usuário em todos os lugares facilita a correlação de perfis; usar nomes de usuário distintos e aliases de e-mail para finalidades diferentes reduz o risco.

Do lado da plataforma, é necessário manter cursos de longa duração, softwares antigos de fóruns e métodos de armazenamento de senhas atualizados. O MD5 com salt não deve mais ser considerado suficiente; sistemas modernos devem usar algoritmos de hash mais fortes e mais lentos. Do lado do usuário, a autenticação de dois fatores, os processos de intermediação confiáveis, os endereços de e-mail separados e as senhas únicas devem ser adotados em conjunto nos marketplaces em que ocorrem transações. Essa abordagem reduz o risco de vazamentos antigos afetarem contas de jogos atuais.

Se o seu endereço de e-mail aparece neste registro, não conclua que os dados do seu cartão de pagamento ou o inventário da sua conta de jogo foram vazados; esses campos não foram verificados. No entanto, a combinação de e-mail, endereço IP, nome de usuário e hash de senha MD5 com salt é um alerta sério para a segurança da conta. Altere a senha de todas as contas em que você usa a mesma senha, ative a autenticação de dois fatores nas contas importantes e tenha cautela com mensagens suspeitas relacionadas a marketplaces.

A atitude correta é não subestimar sua conta do EpicNPC por ser uma conta antiga de fórum. Verifique suas contas de lojas de jogos, marketplaces, e-mail e redes sociais. Encerre contas de fóruns que você não usa, evite que o uso do mesmo nome de usuário facilite a correlação dos seus perfis em diferentes plataformas e não clique em links de negociação nos quais você não confia. O vazamento de dados do EpicNPC mostra que credenciais de contas em comunidades de negociação de contas de jogos podem gerar riscos de fraude e à privacidade dos perfis no longo prazo.