Vazamento de dados de Lanwar

O ponto mais crítico do incidente da Lanwar são as senhas em texto simples. Quando uma senha está em um formato diretamente legível, em vez de um hash ou formato criptografado, o invasor não precisa tentar quebrá-la. Se a mesma senha for reutilizada em e-mail, lojas de jogos, serviços de bate-papo, fóruns, redes sociais ou contas de pagamento, o risco não se limita à conta da Lanwar. A combinação de endereço de e-mail e nome de usuário também pode ser usada para associar perfis em diferentes comunidades de jogos.

O nome completo e o endereço físico vinculam a identidade online a informações do mundo real. Esses campos podem tornar mais convincentes mensagens de phishing direcionado que se apresentam como notificações falsas de atividade, campanhas de patrocinadores, avisos de envio ou prêmios de torneios. O endereço físico também representa um risco à privacidade de quem participa de eventos de jogos. Por isso, a avaliação do incidente não deve se limitar à troca de senha; a segurança do e-mail, a reutilização de nomes de usuário e o possível uso indevido de informações de endereço devem ser considerados em conjunto.

A data verificada do vazamento da Lanwar deve ser registrada como 28 de julho de 2018, com um total confirmado de 45.120 registros. O incidente deve ser considerado no contexto da comunidade de LAN parties e eventos de jogos. As fontes indicam que a equipe da Lanwar percebeu o incidente, que ele pode ter se estendido pelos meses anteriores e que a equipe entrou em contato com as autoridades após identificar uma tentativa de phishing ou extorsão em Bitcoin relacionada aos dados. Esses detalhes explicam o contexto de risco; no entanto, não devem ser usados para ampliar as categorias de dados verificadas.

As categorias de dados verificadas são endereços de e-mail, nomes, senhas, endereços físicos e nomes de usuário. É importante destacar que as senhas estão em texto simples. Cartão de pagamento, conta bancária, número de telefone, endereço IP, data de nascimento, mensagem privada, compra dentro de jogos, documento de identificação oficial e informações de saúde não são campos verificados neste registro. Para comunicar o risco com precisão ao usuário, a explicação deve respeitar esses limites e, se a causa técnica do incidente não tiver sido confirmada, o método de ataque não deve ser apresentado como comprovado.

O maior risco está entre as pessoas que também usam em outras contas a senha utilizada na conta da Lanwar. Nas comunidades de jogos, o mesmo nome de usuário pode ser mantido por muito tempo e reutilizado em diferentes plataformas. Isso facilita que um invasor estabeleça conexões entre perfis no Steam, Discord, fóruns, servidores de jogos ou redes sociais quando obtém o e-mail e o nome de usuário. As senhas em texto simples também podem transformar essas conexões em tentativas de tomada de controle de contas.

Quem comparece presencialmente a eventos ou compartilha seu endereço durante o cadastro também fica sujeito a riscos à privacidade. Quando endereço, nome completo e identificador de jogador aparecem juntos, mensagens falsas sobre ingressos, envios, recompensas, acordos com patrocinadores ou atualizações de eventos podem se tornar mais convincentes. Quem obtiver uma correspondência positiva não deve considerar uma conta antiga de evento irrelevante; se a senha antiga ainda for válida em outros serviços, o risco permanece no presente.

Os usuários cujos endereços de e-mail constam neste registro devem garantir que a senha antiga usada na conta da Lanwar não seja válida em nenhuma outra conta. Se a mesma senha, ou uma semelhante, tiver sido usada em outros serviços, ela deve ser substituída imediatamente por uma senha longa, única e difícil de adivinhar. A verificação deve priorizar especialmente contas de e-mail, lojas de jogos, serviços de bate-papo, redes sociais e contas de pagamento. Se a conta de e-mail for comprometida, muitas outras contas ficarão em risco por meio da cadeia de redefinição de senhas.

A autenticação multifator deve ser ativada em todas as contas importantes que ofereçam esse recurso. Ao receber uma notificação de atividade suspeita ou uma mensagem sobre prêmio de torneio, envio, convite de patrocinador ou verificação de conta, confira cuidadosamente o nome de domínio e o remetente antes de clicar no link. Quem usou um nome de usuário antigo em diferentes comunidades de jogos deve revisar a privacidade dos perfis e reduzir a exposição pública de endereços ou dados de contato. Se houver um login inesperado, uma mensagem de redefinição de senha ou uma notificação de dispositivo, as sessões da conta devem ser encerradas e as informações de recuperação devem ser atualizadas.

O incidente da Lanwar mostra que comunidades de jogos de pequeno e médio porte também podem sofrer impactos graves de segurança. Os usuários devem usar uma senha única para cada conta de jogo, fórum, evento, bate-papo e rede social. Um gerenciador de senhas é uma forma prática de identificar senhas reutilizadas em contas antigas e gerar senhas fortes e distintas para cada conta. Contas de eventos e fóruns que não são mais usadas devem ser encerradas ou isoladas com uma senha única.

A principal lição para quem administra comunidades e eventos é que as senhas nunca devem ser armazenadas em texto simples, sob nenhuma circunstância. Métodos modernos de hash de senhas com boa relação custo-benefício, restrições de acesso, auditorias regulares de segurança e notificações rápidas aos usuários têm um papel fundamental na proteção dessas informações de conta. Dados coletados para a logística dos eventos, como endereços físicos, devem ser mantidos apenas pelo tempo necessário, e os usuários devem ser informados com clareza sobre o motivo da solicitação de cada informação.

O resultado da consulta de um registro da Lanwar mostra se o endereço de e-mail informado está presente neste conjunto de dados verificado. Um resultado positivo significa que deve ser considerado o risco relacionado ao nome e sobrenome, nome de usuário, endereço físico e senha em texto simples associados ao endereço de e-mail. Um resultado negativo indica apenas que não foi encontrada uma correspondência neste conjunto de dados específico; isso não comprova que a pessoa não tenha sido afetada por outros vazamentos em jogos, fóruns ou redes sociais.

A medida correta é abandonar completamente a senha antiga, alterar a senha de todas as contas que usam a mesma senha, usar autenticação multifator nas contas de e-mail e de jogos, revisar os perfis criados com o mesmo nome de usuário e ter cautela com mensagens falsas sobre a Lanwar ou eventos de jogos. Este incidente deve ser avaliado não como um risco envolvendo dados bancários ou de pagamento, mas como um risco relacionado a senhas em texto simples e à associação de perfis em comunidades de jogos.