Vazamento de dados de Everybody Edits

Os tipos de dados verificados são endereços de e-mail, endereços IP e nomes de usuário. Um endereço de e-mail pode permitir a associação da conta do jogo a identidades em outros serviços. Já um nome de usuário pode ajudar a estabelecer vínculos com redes sociais, fóruns, plataformas de transmissão ao vivo ou outras contas de jogos, sobretudo por ser reutilizado durante anos em comunidades de jogos. Um endereço IP não corresponde diretamente ao endereço exato de uma residência; no entanto, pode fornecer indícios limitados sobre a região aproximada, o provedor de internet ou o contexto da sessão. Quando esses três tipos de dados aparecem juntos, aumentam os riscos de mensagens direcionadas, rastreamento de contas e assédio dentro da comunidade.

Senhas não devem ser acrescentadas à lista de categorias de dados deste vazamento. Embora a descrição da plataforma inclua recomendações sobre a segurança de senhas, a lista de campos verificados se limita a endereço de e-mail, endereço IP e nome de usuário. Ainda assim, o uso do mesmo endereço de e-mail e nome de usuário em outros jogos ou plataformas sociais representa um risco. Invasores podem tentar tomar o controle de contas combinando essas informações com senhas de outros vazamentos. Portanto, a senha não deve ser apresentada como um campo separado deste vazamento; o risco deve ser avaliado principalmente em termos de associação entre contas, phishing direcionado e cruzamento com outros vazamentos.

Este registro se baseia em 871.190 contas verificadas. O incidente está relacionado aos arquivos distribuídos em 23 de março de 2019 e inclui dados de contas do jogo. Não se deve presumir que os mesmos campos de dados tenham sido expostos na mesma medida para cada usuário; o comunicado da plataforma informou que os efeitos variaram entre contas do site principal, contas vinculadas ao Facebook e outros tipos de login. Por isso, na declaração pública, os campos confirmados devem permanecer limitados a endereço de e-mail, endereço IP e nome de usuário, enquanto outros efeitos contextuais devem ser tratados como uma limitação de escopo, e não como suposições adicionais.

O escopo deste evento não deve ser ampliado para categorias de dados pessoais além dos três campos verificados. Além disso, um endereço IP isolado não deve ser interpretado como uma informação de localização precisa. A declaração da própria plataforma explica que algumas contas vinculadas podem ter implicações para a privacidade, como a associação entre um nome de perfil e um IP; no entanto, esses detalhes, que estão fora das categorias de dados verificadas, não devem ser generalizados para todas as contas. Essa delimitação permite que os usuários, especialmente em comunidades de jogos, entendam o risco real sem gerar alarmes infundados.

O grupo de maior risco inclui pessoas que criaram uma conta no Everybody Edits entre 2010 e o início de 2019 e também usaram o mesmo nome de usuário em outras plataformas. Nas comunidades de jogos, nomes de usuário costumam se repetir em fóruns, redes sociais, canais de transmissão ao vivo e outras contas de jogos. Isso pode permitir a conexão entre as diferentes identidades online de uma pessoa, mesmo que apenas o endereço de e-mail tenha vazado. Mesmo um endereço IP antigo pode fornecer um contexto aproximado de acesso do usuário em determinado período.

Jogadores que usaram o login vinculado ao Facebook, ex-integrantes da comunidade do jogo, moderadores, criadores de mapas e pessoas reconhecidas por seus nomes de usuário visíveis podem estar sujeitos a riscos adicionais. Como os vínculos sociais são fortes nas comunidades de jogos, invasores podem enviar mensagens sobre antigas amizades, recuperação de contas, recompensas no jogo ou convites para servidores com apelo nostálgico. Usuários jovens e pessoas que não verificam suas contas antigas há muito tempo podem acreditar que essas mensagens são legítimas. Portanto, o risco deve ser considerado não apenas em termos de tomada de controle de contas por meios técnicos, mas também de abordagens direcionadas dentro da comunidade e engenharia social.

Se você usa o endereço de e-mail associado à sua conta do Everybody Edits em outros jogos, fóruns ou contas de redes sociais, verifique as configurações de segurança dessas contas. Reduza as informações visíveis nos perfis de contas com o mesmo nome de usuário e confira se as opções de recuperação de conta estão atualizadas. Use uma senha exclusiva para cada conta; mesmo que este vazamento não inclua senhas entre as categorias de dados verificadas, tentativas de cruzamento com outros vazamentos podem tornar perigosa a reutilização de senhas. Ative a autenticação multifator na sua conta de e-mail.

Desconfie de mensagens inesperadas sobre recompensas no jogo, recuperação de contas antigas, servidores nostálgicos, acesso gratuito ou convites para comunidades. Verifique o domínio antes de clicar no link e não responda a pessoas que peçam informações pessoais para recuperar sua antiga conta do jogo. Se você acha que seu endereço IP pode ter vazado de uma sessão antiga, lembre-se de que esse dado não indica a localização exata; ainda assim, você pode revisar o roteamento do modem, a segurança da rede e as configurações de privacidade para reforçar sua privacidade. Evitar a exibição desnecessária do seu endereço de e-mail em perfis públicos também reduz o risco de mensagens direcionadas.

Contas de jogos geralmente são vistas como pouco importantes, mas nomes de usuário e endereços de e-mail usados durante anos passam a fazer parte da identidade digital de uma pessoa. No longo prazo, é importante usar senhas diferentes para cada conta de jogo e de comunidade, dar preferência a endereços de e-mail separados para contas críticas e encerrar perfis antigos. Se você usa o mesmo nome de usuário em várias plataformas, verifique regularmente quais contas estão públicas. Fóruns antigos de jogos, perfis arquivados e links de redes sociais podem criar uma exposição desnecessária quando combinados.

Do ponto de vista das plataformas, este incidente mostra que arquivos de exclusão de contas antigas e sistemas de login associados precisam ser protegidos com cuidado. Períodos desnecessários de retenção de IPs devem ser reduzidos, a exportação de dados de usuários deve ser restringida por controles de acesso robustos e os links de arquivos devem ser gerados de forma imprevisível. Para você, fazer uma limpeza regular das contas antigas, usar máscaras de e-mail, ativar a autenticação multifator e avaliar com cautela as mensagens da comunidade de jogos oferece proteção duradoura. Assim, dados antigos de jogos não se tornam o primeiro elo de uma cadeia que poderia enfraquecer a segurança das suas contas atuais.

Se você jogou Everybody Edits ou criou uma conta em everybodyedits.com antes de 2019, precisa verificar se seu endereço de e-mail está associado a este registro. Se houver uma correspondência, primeiro proteja sua conta de e-mail e depois revise as outras plataformas em que usou o mesmo nome de usuário. O principal risco neste incidente é a possibilidade de vincular contas quando o e-mail, o endereço IP e o nome de usuário aparecem juntos. A senha não deve ser acrescentada como um campo de dados separado neste registro, mas você deve usar uma senha exclusiva para cada conta importante para evitar a reutilização de senhas.

Este registro descreve o vazamento de dados do Everybody Edits dentro de seu escopo verificado: o incidente está associado a dados da comunidade de jogos de 23 de março de 2019, o número de contas afetadas é de 871.190 e as categorias de dados verificadas são endereços de e-mail, endereços IP e nomes de usuário. Suas ações devem se concentrar em reforçar a segurança da conta de e-mail, verificar os perfis que usam o mesmo nome de usuário, desconfiar de mensagens inesperadas sobre jogos ou comunidades e reduzir a visibilidade de contas antigas.