Vazamento de dados de GameSalad

Neste vazamento, endereços de e-mail, nomes de usuário e endereços IP foram expostos junto com senhas. Armazenar senhas como hashes SHA-256 não significa armazená-las em texto simples; no entanto, o SHA-256, usado isoladamente, não é considerado a opção mais robusta disponível atualmente para armazenar senhas. Se a senha for curta, previsível ou reutilizada em outras contas, invasores podem tentar acessar diferentes serviços por meio da quebra de hashes e de tentativas automatizadas de login. O risco aumenta se o mesmo e-mail e a mesma senha foram usados em contas de plataformas educacionais, ferramentas de desenvolvimento de jogos, fóruns, redes sociais ou serviços de e-mail.

Endereços IP e nomes de usuário também fornecem contexto adicional. Um endereço IP, por si só, não é prova definitiva de localização ou identidade; porém, quando analisado junto com um endereço de e-mail e um nome de usuário, pode ser usado para associar perfis, enviar notificações de segurança falsas e direcionar mensagens de phishing. Em ferramentas de educação e produção como o GameSalad, os usuários podem ser estudantes, desenvolvedores independentes ou pequenas equipes. Quando esses grupos vinculam contas de projetos a contas pessoais de e-mail, o impacto de um vazamento pode se estender a uma rede mais ampla de contas.

O número confirmado para o incidente do GameSalad deve ser mantido em 1.506.242. Esse valor representa o escopo de contas associadas ao incidente do GameSalad; mencionar o incidente em uma onda mais ampla de vendas de dados que inclui outras plataformas não justifica atribuir um número maior ao GameSalad. Um mesmo usuário pode ter várias contas, alguns registros podem continuar vinculados a endereços de e-mail antigos e podem existir duplicações técnicas. Portanto, o número deve ser apresentado como uma quantidade de registros de contas, e não como o número exato de pessoas.

Os tipos de dados confirmados são endereços de e-mail, endereços IP, senhas e nomes de usuário. O campo de senha deve ser identificado como um hash SHA-256. Campos como telefone, endereço, pagamento, documento de identificação oficial, data de nascimento, mensagem privada, arquivo de projeto de jogo, informações de dispositivo ou registro de aluno não devem ser acrescentados a este registro sem confirmação. Essa limitação permite comunicar o risco a você com precisão e evita incluir tipos de dados sem evidências apenas com base no uso geral da plataforma.

O maior risco é para quem reutiliza a senha da conta no GameSalad em outras contas. Em plataformas educacionais e de desenvolvimento de jogos, é comum criar contas com endereços pessoais de e-mail. Quando o mesmo e-mail e a mesma senha continuam válidos em uma conta de e-mail, loja de jogos, conta de estudante, fórum ou rede social, um vazamento antigo passa a representar um risco atual de tomada de controle da conta.

Desenvolvedores independentes, estudantes, professores e usuários de contas de pequenas equipes também devem ter cuidado. O nome de usuário e o endereço de e-mail podem ser associados ao perfil de uma pessoa em comunidades de desenvolvimento. O endereço IP também pode fornecer indícios adicionais sobre o contexto da sessão. Mesmo que uma conta antiga não seja mais usada, se você mantiver o mesmo nome de usuário em diferentes plataformas, invasores podem enviar mensagens com pretextos falsos de colaboração, compartilhamento de projetos, verificação de conta ou conteúdo educacional.

Se o seu endereço de e-mail estiver nos dados do GameSalad, você deve garantir que a senha antiga da sua conta no GameSalad não continue válida em nenhuma outra plataforma. Se você usou a mesma senha, ou uma senha semelhante, em outro serviço, crie uma senha diferente, longa e difícil de adivinhar para cada conta. Usar um gerenciador de senhas reduz o risco de reutilização. Alterar uma pequena parte da senha, acrescentar um ano ao final ou manter o mesmo padrão não é suficiente.

Ative a autenticação de dois fatores em contas de e-mail, plataformas educacionais, ferramentas de desenvolvimento de jogos, redes sociais e serviços que envolvam pagamentos. Se o histórico da conta mostrar sessões que você não reconhece, dispositivos desconhecidos, solicitações de redefinição de senha ou notificações de segurança, encerre as sessões e atualize as informações de recuperação. Examine com cuidado convites falsos para projetos, códigos de presente e mensagens de verificação de conta relacionados ao GameSalad ou ao desenvolvimento de jogos. Antes de clicar em links, verifique o endereço e as informações do remetente por meios independentes.

O incidente do GameSalad mostra que contas usadas em ferramentas de educação e produção devem receber a mesma proteção que as contas principais usadas para identificação. Não reutilize a mesma senha em contas pessoais, educacionais, de desenvolvimento e de redes sociais. Revise regularmente as contas antigas em plataformas e encerre as que não usa mais ou mantenha-as isoladas com senhas exclusivas e autenticação multifator. Usar o mesmo nome de usuário em muitas plataformas deve ser uma escolha consciente, pois facilita a associação entre perfis.

A principal lição para os provedores de serviços é que o processo de geração de hashes de senhas não deve se limitar a uma função de hash padrão. Para armazenar senhas, devem ser priorizados métodos modernos, com custo computacional ajustável e específicos para senhas. Dados de sessão, como endereços IP, não devem ser mantidos por mais tempo do que o necessário, e os logs de acesso devem ser auditados regularmente. Ao relatar um incidente, é preciso informar com clareza quais dados vazaram, quais dados não puderam ser confirmados e como o escopo específico da plataforma se distingue dos números de arquivos maiores.

Na consulta de registros do vazamento do GameSalad, o resultado indica se o endereço de e-mail informado foi encontrado neste conjunto de dados confirmado. Se o resultado for positivo, o endereço de e-mail, o nome de usuário, o endereço IP e o hash SHA-256 da senha devem ser considerados no escopo do risco. Se o resultado for negativo, isso significa que nenhuma correspondência foi encontrada neste conjunto de dados específico; não significa que a pessoa não tenha sido afetada por outros vazamentos. Portanto, o resultado deve ser interpretado apenas no contexto do incidente do GameSalad.

A ação adequada é deixar de usar completamente a senha antiga, trocar todas as senhas reutilizadas, proteger a conta de e-mail com autenticação multifator e revisar contas educacionais, de desenvolvimento ou de jogos abertas com o mesmo nome de usuário. Um incidente antigo representa um risco atual se as mesmas senhas ainda estiverem em uso hoje. Quando você encontrar uma correspondência de registro, deve corrigir não apenas a conta no GameSalad, mas também todos os hábitos de uso de contas associados às mesmas credenciais.