Vazamento de dados de HeatGames

Este registro reúne endereços de e-mail, endereços IP, informações de país ou localização geográfica e hashes de senhas. Os endereços de e-mail e os hashes de senhas representam um dos principais riscos de tentativas de comprometimento de contas. O MD5 com salt é considerado fraco pelos padrões atuais de armazenamento de senhas; por isso, tentativas de adivinhar senhas offline podem ser mais eficazes contra senhas curtas, baseadas em palavras de dicionário ou reutilizadas. O endereço IP e as informações de país também podem ajudar a traçar um perfil regional do jogador.

Nas comunidades de jogos, a mesma combinação de e-mail e senha pode ser reutilizada em muitos serviços, como fóruns, clientes de jogos, marketplaces, aplicativos de conversa ou perfis em redes sociais. Portanto, se a senha de uma conta da HeatGames também for usada em outras contas, o risco vai além de um único site de jogos. Os invasores podem enviar mensagens falsas sob o pretexto de recuperação de contas de jogos, itens gratuitos, convites para torneios, servidores privados, ferramentas de trapaça, acesso a versões beta ou verificação de contas. As informações de IP e país podem fazer essas mensagens parecerem voltadas à região do usuário ou à sua comunidade de jogos.

O número verificado de endereços de e-mail únicos é 647.896, e o incidente remonta a 12 de junho de 2021. A quantidade de linhas associadas à HeatGames pode variar em conjuntos de dados maiores; essa diferença, porém, não significa que o número de usuários únicos seja maior. As categorias de dados são endereços de e-mail, localizações geográficas, endereços IP e senhas. As senhas devem ser tratadas como hashes no formato MD5 com salt ou vBulletin, e não como texto simples.

Os campos não verificados devem ser explicitamente excluídos deste registro. Nome de usuário, número de telefone, endereço físico, cartão de pagamento, histórico de compras, mensagens privadas, identificador de dispositivo ou documento oficial de identificação não estão entre essas categorias de dados. O campo de localização geográfica não corresponde a um endereço completo; em geral, deve ser interpretado como informação de país ou outra informação regional semelhante. A descrição não deve confundir a quantidade de linhas do registro com o número de endereços de e-mail únicos e deve explicar claramente, mas sem exageros, o risco dos hashes de senhas fracos.

Os usuários mais expostos ao risco são aqueles que reutilizam o e-mail e a senha de sua conta da HeatGames em outros jogos, fóruns, redes sociais ou contas de e-mail. Se a mesma senha for usada em diferentes serviços, os invasores podem aproveitar essas informações em tentativas automatizadas de login. Como os usuários de comunidades de jogos costumam manter o mesmo apelido e endereço de e-mail por muito tempo, até mesmo um vazamento antigo pode ser usado para acessar contas atuais.

Usuários cujos endereços IP e informações de país constam nos dados podem ser alvo de campanhas falsas de jogos ou convites para comunidades direcionados à sua região. Mensagens que parecem oferecer ferramentas de trapaça, moedas gratuitas para uso em jogos, itens especiais, acesso a servidores ou verificações de segurança da conta são especialmente arriscadas. Como esses registros não contêm informações de pagamento nem endereços físicos, o principal risco não é o vazamento de dados financeiros. Os riscos mais relevantes são a tomada de controle de contas devido à reutilização de senhas, a perda de ativos dentro dos jogos, a associação a perfis em redes sociais e o phishing direcionado.

Os usuários cujos endereços de e-mail aparecem neste registro não devem mais considerar segura a senha que usavam na HeatGames. Se a mesma senha, ou uma semelhante, foi usada em outras contas, a senha de cada uma delas deve ser substituída por uma senha única e forte. A prioridade deve ser dada a contas de e-mail, plataformas de jogos, marketplaces de jogos, fóruns, aplicativos de conversa e contas de redes sociais. A autenticação de dois fatores deve ser ativada nas contas mais importantes e, se possível, deve-se dar preferência à autenticação por aplicativo ou por chave física de segurança.

Devem ser evitados links em mensagens que parecem oferecer itens gratuitos, servidores privados, acesso a versões beta, verificação de contas, convites para torneios ou alertas de segurança. O acesso às contas deve ser feito pelo domínio conhecido ou pelo aplicativo oficial. Não se deve baixar ferramentas de jogos desconhecidas, arquivos de trapaça ou pacotes de modificações. Se aparecerem na conta de e-mail mensagens inesperadas de redefinição de senha, alertas de novos dispositivos ou sessões não reconhecidas, as sessões devem ser encerradas e as opções de recuperação, verificadas.

No longo prazo, senhas únicas, aliases de e-mail separados e autenticação de dois fatores oferecem proteção básica às contas de jogos. Mesmo que contas criadas em sites de jogos antigos sejam esquecidas, as mesmas senhas podem colocar outras contas em risco anos depois. Os usuários devem revisar periodicamente suas contas antigas de jogos, fóruns e comunidades, encerrar as contas que não utilizam e dificultar a associação do mesmo nome de usuário entre diferentes plataformas.

Para os prestadores de serviços, este incidente demonstra o risco de longo prazo dos hashes de senhas fracos em sites de jogos antigos. Métodos antigos, como o MD5 com salt, não atendem aos requisitos modernos de armazenamento de senhas. Como as contas de comunidades de jogos podem estar vinculadas a ativos dentro dos jogos com valor monetário, são importantes o uso de algoritmos robustos de hash de senhas, o monitoramento de sessões, a autenticação de dois fatores, a redefinição de senhas após vazamentos e a exclusão segura de dados antigos. Mesmo em sites inativos, os bancos de dados antigos não devem ficar desprotegidos.

Se o seu endereço de e-mail aparecer neste registro, primeiro identifique todas as contas que usam a mesma senha. Sua conta de e-mail e suas principais contas de jogos são prioridade. Depois, avalie com cuidado as mensagens de comunidades de jogos sobre itens gratuitos, verificação de contas, ferramentas de trapaça, servidores privados ou torneios. Mesmo que uma mensagem identifique corretamente seu país ou uma conta antiga de jogo, isso não significa que ela seja confiável.

O principal risco do vazamento da HeatGames é a circulação de endereços de e-mail e hashes de senhas fracos junto com informações de IP e localização. As medidas adequadas são deixar de reutilizar senhas, ativar a autenticação de dois fatores, verificar os logins mais recentes das contas de jogos e evitar links falsos relacionados a jogos. Este registro não deve ser interpretado como um vazamento de cartões de pagamento ou endereços físicos; o plano de proteção deve se basear nos dados verificados de e-mail, IP, localização e hashes de senhas.