Vazamento de dados de GamingMonk

Neste vazamento, endereços de e-mail e nomes de usuário foram expostos junto com nomes, números de telefone e datas de nascimento. Essa combinação permite que invasores criem mensagens que pareçam personalizadas. Números de telefone podem ser usados em golpes por SMS, falsas ligações de suporte e fraudes de verificação de conta. Datas de nascimento aumentam o nível de risco, pois alguns serviços as utilizam como pergunta de segurança ou como apoio à verificação de identidade.

Armazenar senhas no formato de hash bcrypt oferece uma proteção maior do que armazená-las em texto simples. Ainda assim, senhas curtas, fracas ou reutilizadas em outras contas continuam representando um risco. Se a mesma senha tiver sido usada em plataformas de e-mail, jogos, redes sociais, torneios ou pagamentos, invasores poderão usar dados antigos em tentativas atuais de login. Por isso, se houver uma correspondência confirmada para o seu e-mail, você deve verificar tanto a sua senha quanto as configurações de segurança das contas vinculadas ao seu número de telefone e à sua data de nascimento.

O número verificado deste registro deve ser mantido em 654.510. Esse valor representa a quantidade de e-mails únicos abrangidos; cada registro não corresponde necessariamente a uma única pessoa real. Um mesmo usuário pode ter várias contas, endereços de e-mail antigos podem aparecer separadamente ou pode haver duplicatas nos dados. Ainda assim, a presença conjunta de números de telefone, datas de nascimento e hashes de senhas torna este um vazamento de alto impacto para a comunidade de jogos.

As categorias de dados verificadas são datas de nascimento, endereços de e-mail, nomes, senhas, números de telefone e nomes de usuário. O campo de senha deve ser especificado como um hash bcrypt. Endereço físico, informações de pagamento, dados de identificação oficial, mensagens privadas, informações de dispositivos, endereço IP, inventário em jogos e histórico de compras não devem ser adicionados ao registro, pois não estão entre os campos verificados. O fato de a plataforma ter continuado posteriormente sob outra marca não é evidência suficiente para acrescentar novas categorias de dados ao escopo do incidente.

O maior risco é para quem reutiliza a senha da conta GamingMonk em outros serviços. Em plataformas de esportes eletrônicos e torneios, é comum que usuários criem contas com seu e-mail pessoal e número de telefone. Essas informações podem ser usadas em comunicações como falsos convites para torneios, notificações de recompensas, verificações de conta ou mensagens de suporte. Como o número de telefone e a data de nascimento estão disponíveis, invasores podem tornar suas mensagens mais pessoais e convincentes.

Quem participa ativamente de comunidades de jogos sediadas na Índia, participa de torneios ou usa o mesmo nome de usuário em diferentes plataformas também deve ficar atento. Se o mesmo nome de usuário também for usado em redes sociais, plataformas de streaming ou lojas de jogos, o risco de associação entre perfis aumenta. Mesmo que a conta não esteja mais ativa, o risco continua se o número de telefone e o endereço de e-mail ainda puderem ser usados. Por isso, você não deve se concentrar apenas na sua antiga conta na plataforma.

Se o seu endereço de e-mail estiver neste registro, certifique-se de que a senha antiga da sua conta GamingMonk não seja válida em nenhuma outra conta. Se você tiver usado a mesma senha ou uma senha semelhante em outros serviços, troque-a imediatamente por uma senha longa, exclusiva e difícil de adivinhar. Usar um gerenciador de senhas reduz o risco de reutilização. Embora o uso de hashes Bcrypt seja um método de armazenamento mais robusto, ele não torna segura a reutilização de senhas.

Ative a autenticação multifator nas contas de e-mail, jogos, redes sociais, serviços que envolvem pagamentos e contas vinculadas a um número de telefone. Verifique também a segurança da sua conta na operadora e as proteções contra troca de SIM. Ao receber um convite de torneio, uma notificação de recompensa, uma mensagem de verificação de conta ou uma ligação de suporte de origem desconhecida, verifique o endereço e o remetente por uma fonte independente antes de clicar no link. Mensagens SMS e ligações suspeitas também devem ser levadas a sério.

O incidente da GamingMonk mostra que dados coletados em contas de plataformas de esportes eletrônicos e comunidades de jogos, como números de telefone e datas de nascimento, podem representar riscos a longo prazo. Não repita os mesmos padrões de senha e nome de usuário em contas de torneios, jogos e redes sociais. Encerre contas que você não usa ou mantenha-as isoladas com uma senha exclusiva. Mantenha os alertas de segurança ativos nas contas vinculadas a um número de telefone e revise as opções de recuperação periodicamente.

A principal lição para os prestadores de serviços é dar atenção não apenas à segurança das senhas, mas também à redução da coleta de dados pessoais desnecessários. Campos como número de telefone e data de nascimento não devem ser mantidos se não forem realmente necessários; quando forem exigidos, os controles de acesso, os registros de auditoria e os prazos de retenção de dados devem ser gerenciados com rigor. É necessário usar métodos robustos para armazenar senhas, e os relatórios de incidentes devem indicar claramente quais campos foram afetados e quais não foram verificados.

Ao consultar o registro de um vazamento da GamingMonk, o resultado indica se o endereço de e-mail informado foi encontrado neste conjunto de dados verificado. Se o resultado for positivo, o endereço de e-mail, o nome, o nome de usuário, o número de telefone, a data de nascimento e o hash de senha bcrypt devem ser considerados em risco. Se o resultado for negativo, isso significa que nenhuma correspondência foi encontrada neste conjunto de dados específico; não comprova que a pessoa não tenha sido afetada por outros vazamentos. O resultado deve ser interpretado apenas no contexto do incidente da GamingMonk.

A ação correta é deixar de usar definitivamente a senha antiga, trocar todas as senhas reutilizadas, usar proteção multifator nas contas de e-mail e jogos, verificar as contas vinculadas a números de telefone e reforçar as opções de segurança dos serviços que usam a data de nascimento para verificação. Você não deve considerar o risco insignificante por o incidente ser antigo ou por a plataforma ter mudado de dono. Informações como números de telefone e datas de nascimento podem ser usadas em fraudes direcionadas mesmo anos depois.