Vazamento de dados de MagicDuel

Os tipos de dados observados neste registro são endereços de e-mail, endereços IP, apelidos de jogadores e senhas. A avaliação indicou que as senhas estão armazenadas no formato bcrypt; embora seja um método robusto de armazenamento, senhas fracas e reutilizadas representam um risco. Esses campos foram avaliados individualmente; campos não verificados de cartões de pagamento, contas bancárias, documentos oficiais de identificação, mensagens privadas, registros de saúde ou informações adicionais de perfil não foram adicionados à lista de categorias de dados.

A associação entre o apelido de um jogador e seu e-mail pode vincular sua identidade no jogo ao endereço que usa para se comunicar na vida real. Embora um endereço de e-mail isolado represente um risco de spam e phishing, sua combinação com nome, telefone, endereço, IP, data de nascimento ou informações profissionais facilita a criação de mensagens mais personalizadas por um invasor. Por isso, a avaliação de risco considerou não apenas o número de registros, mas também a possibilidade de usar os campos em conjunto.

O escopo verificado foi de 138.443 contas, referente a agosto de 2023. Os campos de dados verificados foram mantidos, enquanto os campos cuja avaliação ainda não havia sido concluída foram excluídos. Assim, o usuário é informado sobre o registro atual sem alarme excessivo, mas também sem subestimar o risco real.

Foi usado o termo ‘Apelidos’ em vez de ‘Nomes de usuário’ porque o campo relatado corresponde mais precisamente ao contexto de um nome de jogador ou apelido. Caso existam outros incidentes com nomes semelhantes ao deste registro, eles não foram agrupados em um único grande incidente. As informações de domínio, empresa e setor foram mantidas no contexto correto mais restrito possível; isso também evita a inclusão de vazamentos duplicados ou associados incorretamente.

Os grupos de usuários em risco são jogadores que têm uma conta na MagicDuel e pessoas que usam o mesmo apelido em outros jogos. Os usuários que encontrarem uma correspondência devem considerar não apenas a conta no serviço em questão, mas também outras contas que usam o mesmo e-mail, nome de usuário ou padrão de senha.

A engenharia social pode ocorrer em comunidades de jogos por meio de falsas recompensas, verificações de conta, convites para eventos ou mensagens em plataformas de compra e venda. Para pessoas que se cadastram com um endereço de e-mail corporativo, o risco pode ir além da conta pessoal; invasores podem usar nome, cargo, telefone, endereço, compras, ID no jogo ou informações de perfil profissional para enviar mensagens mais convincentes. Por isso, os usuários não devem tratar a correspondência como um problema limitado a um único site.

Os usuários afetados devem alterar a senha da MagicDuel e as senhas das contas de lojas de jogos, e-mail, redes sociais e serviços de mensagens em que usam a mesma senha. Quando o registro contém um campo de senha, as senhas de todas as contas que usam a mesma senha devem ser alteradas; quando não há esse campo, o foco deve estar nos riscos relacionados a e-mail, telefone e notificações falsas. Em ambos os casos, a conta de e-mail deve ser protegida com uma senha forte e exclusiva.

Em vez de clicar nos links de uma mensagem, o usuário deve digitar manualmente o endereço do serviço em questão ou usar a entrada salva em um gerenciador de senhas confiável. Mensagens como códigos de verificação recebidos pelo telefone, solicitações de redefinição de senha e notificações de entrega, oferta de emprego, suporte, assinatura ou segurança não devem ser consideradas legítimas sem verificação por um canal independente.

Os jogadores devem usar uma senha exclusiva para cada conta de jogo e fórum e evitar associar desnecessariamente apelidos usados nos jogos a contas pessoais. É importante revisar regularmente contas antigas, campos de telefone e endereço sem uso, nomes de usuário repetidos e padrões de senha reutilizados, removendo ou alterando o que não for necessário. Os usuários devem usar uma senha exclusiva para cada serviço e ativar a autenticação de dois fatores sempre que possível.

Para os prestadores de serviços, reter o mínimo de dados, proteger as senhas de forma robusta, monitorar os registros de acesso, excluir campos de perfil desnecessários e notificar os usuários após um vazamento são requisitos fundamentais. Falhas de segurança em contas de jogos também podem levar à perda de ativos digitais e de reputação na comunidade. Nesses casos, comunicar o escopo com precisão é tão importante quanto a correção técnica; informações exageradas ou incompletas podem levar o usuário a tomar medidas inadequadas.

O usuário deve primeiro consultar este registro usando seu endereço de e-mail. Se houver uma correspondência, deve considerar que os campos de apelido, IP e senha podem estar em risco; as senhas de todas as contas de jogos que usam a mesma senha devem ser alteradas. A ausência de correspondência não descarta completamente a reutilização anterior de senhas nem o uso de outros e-mails associados ao mesmo serviço; por isso, as contas críticas também devem ser revisadas separadamente.

Este registro permaneceu verificado; o número de registros e os tipos de dados foram alinhados aos valores verificados. Neste ajuste, os campos de dados foram mantidos como classes canônicas em inglês, a descrição visível ao usuário foi redigida em turco com texto original, campos não verificados não foram adicionados, e o indicador de sensibilidade foi usado apenas quando havia respaldo no contexto de risco.