Vazamento de dados de Light's Hope

Os tipos de dados vazados neste incidente não se limitam às informações de login. A combinação de endereço de e-mail e nome de usuário facilita a busca por uma pessoa em outros jogos, fóruns ou contas de redes sociais em que ela usa o mesmo apelido. A data de nascimento é uma informação pessoal que pode ser usada em perguntas de redefinição de senha ou em falsas interações com o suporte. O endereço IP e as informações de localização geográfica podem indicar a região aproximada do usuário e seus hábitos de conexão; isoladamente, essas informações não são consideradas prova definitiva de identidade, mas, quando combinadas com outros registros, aumentam o risco de criação de perfis. A presença de mensagens privadas representa um risco à privacidade, além do risco técnico; comunicações entre jogadores, relacionamentos dentro do jogo, disputas ou pistas sobre outras plataformas podem ser usados indevidamente por terceiros. Senhas armazenadas com Bcrypt não são senhas em texto simples, mas o risco de ataques offline contra senhas fracas ou reutilizadas não deve ser ignorado.

O escopo verificado se limita aos dados de membros do fórum do Light's Hope. O incidente não deve ser considerado um vazamento da base de dados de contas oficiais do World of Warcraft, da Blizzard ou do Battle.net; as informações verificadas de que dispomos dizem respeito à comunidade Light's Hope e às contas de seu fórum. A descrição técnica divulgada pela imprensa destaca que uma conta com acesso à área de administração do fórum foi comprometida e que, em seguida, os dados dos usuários do fórum foram extraídos. Portanto, não se deve concluir que o registro contenha informações de cartões de pagamento, números de documentos oficiais de identificação, endereços físicos, números de telefone ou dados bancários. Da mesma forma, personagens, itens do jogo, assinaturas oficiais e histórico de pagamentos não estão entre os dados cujo vazamento foi verificado. O total de 30.484 contas afetadas corresponde ao número de contas de usuários únicos; os tipos de dados estão organizados nos campos de e-mail, nome de usuário, data de nascimento, localização geográfica, endereço IP, hash de senha e mensagem privada.

O maior risco é para quem usa, em outras comunidades de jogos, o mesmo endereço de e-mail ou nome de usuário que utilizava no fórum do Light's Hope. Se a mesma senha é reutilizada em diferentes serviços, o armazenamento seguro da senha do fórum, por si só, não oferece proteção suficiente; após um vazamento, invasores podem tentar acessar outras contas com o mesmo e-mail, testando senhas semelhantes. Usuários cujas mensagens privadas contenham referências a Discord, e-mail, nomes usados no jogo, nomes de personagens ou círculos de amigos podem enfrentar riscos de assédio direcionado, mensagens falsas de suporte ou golpes. Como um mesmo apelido pode ter sido mantido por anos em antigas comunidades de servidores privados, dados antigos do fórum podem ser associados a novas contas. A data de nascimento e as informações de localização geográfica também criam riscos adicionais à privacidade, especialmente para usuários jovens, editores, gestores de comunidades e jogadores que usam o mesmo apelido em espaços públicos. Este registro deve ser tratado com cuidado devido às mensagens privadas e às datas de nascimento que contém, mesmo se tratando de um fórum de jogos de pequeno porte.

Se a senha usada no fórum do Light's Hope ainda for válida em qualquer outra conta, você deve trocá-la imediatamente por uma senha longa e exclusiva. Revise individualmente as contas de jogos vinculadas ao mesmo endereço de e-mail, as contas de redes sociais, os serviços de mensagens e as contas antigas de fóruns. O primeiro passo mais adequado é usar uma senha diferente para cada conta ao atualizar as senhas e ativar a autenticação de dois fatores sempre que possível. Tenha cautela com mensagens na sua caixa de entrada que pareçam vir do Light's Hope, de antigos servidores de jogos, da equipe de suporte do fórum ou de um gestor da comunidade; nomes de usuário, datas de nascimento ou informações de IP presentes no vazamento podem ser usados para tornar a mensagem mais convincente. Se você compartilhou informações de outras pessoas em mensagens privadas, também é adequado informar essas pessoas sobre a situação de forma breve e clara. Se encontrar sessões incomuns, dispositivos desconhecidos, e-mails de redefinição de senha ou solicitações de amizade inesperadas no histórico da conta, encerre as sessões da conta em questão e redefina a senha.

Este incidente mostra que contas criadas em antigas comunidades de jogos podem continuar representando um risco mesmo anos depois. A longo prazo, mantenha uma senha exclusiva para cada conta de fórum, jogo e comunidade; gerencie as senhas de modo que sejam fáceis de lembrar, mas difíceis de adivinhar. Se possível, use um gerenciador de senhas para verificar quais contas antigas têm senhas reutilizadas. Usar o mesmo apelido em todos os lugares pode ajudar você a ser reconhecido na comunidade, mas também facilita a associação entre informações pessoais; especialmente quem tem mensagens privadas, uma identidade como streamer ou contas em redes sociais precisa escolher conscientemente como usar seu apelido. Depois que uma informação pessoal permanente, como a data de nascimento, vaza, não é possível reverter sua divulgação. Por isso, é mais prudente evitar inserir dados reais em campos pessoais opcionais ao criar uma nova conta. Lembre-se também de que informações compartilhadas por mensagens privadas em fóruns podem se tornar um registro permanente.

Quem tem uma conta no fórum do Light's Hope ou pode ter usado o mesmo endereço de e-mail nessa comunidade deve verificar este registro. Se houver uma correspondência, a prioridade deve ser adotar senhas distintas em todas as contas nas quais a senha do fórum foi reutilizada no passado. Como a conta de e-mail é o principal ponto de segurança, primeiro confirme que sua senha de e-mail é exclusiva e que a autenticação de dois fatores está ativada. Em seguida, revise os cadastros antigos feitos com o mesmo e-mail em jogos, fóruns, serviços de mensagens e redes sociais. Mesmo que não haja correspondência, verifique se as senhas usadas naquele período foram reutilizadas em outras comunidades antigas. Não foi verificado que o incidente do Light's Hope tenha envolvido o vazamento de dados de pagamento ou de contas oficiais do jogo; ainda assim, ele representa um risco real para os usuários devido à combinação de e-mail, nome de usuário, endereço IP, data de nascimento, mensagem privada e hash de senha. Portanto, a medida mais adequada é usar senhas distintas, tratar mensagens suspeitas com cautela e revisar regularmente as contas de comunidades antigas.