Dungeons & Dragons Online Утечка данных

Подтверждённые типы данных, даты рождения, адреса электронной почты, IP-адреса, имена пользователей, активность на сайте и хеши паролей. Сочетание адреса электронной почты и имени пользователя может упростить поиск аккаунтов того же человека на других игровых форумах, социальных платформах или в сообществах. Даты рождения могут использоваться в сообщениях для социальной инженерии под предлогом восстановления аккаунта или проверки возраста. IP-адреса могут дать приблизительное представление о сети и местоположении. Активность на сайте может предоставить дополнительные сведения о том, как пользователь взаимодействует с сайтом.

Хеши паролей, это не пароли в открытом виде. Однако риск нельзя считать нулевым, если тип хеша и стойкость пароля неизвестны. Слабые или повторно используемые пароли могут попадать в списки для автоматизированного перебора даже спустя годы. Игровые аккаунты могут представлять особый интерес для злоумышленников, поскольку игроки нередко используют одно и то же имя пользователя на форумах, в игровых клиентах, на платформах для общения и в социальных сетях. Поэтому утечка данных Dungeons & Dragons Online важна не только как давний игровой инцидент, но и с точки зрения цепочки рисков, возникающих при повторном использовании имён пользователей и паролей.

Подтверждённая дата инцидента указана как 2 апреля 2013 года. Запись была добавлена в списки подтверждённых утечек 12 марта 2016 года. Число затронутых аккаунтов указано как 1 580 933; в некоторых описаниях может использоваться формулировка «приблизительно 1,6 миллиона аккаунтов игроков». На этой странице используется общее число записей, задействованных в запросе. Инцидент касается данных аккаунтов и сайта, связанных с Dungeons & Dragons Online; его не следует отождествлять со всем брендом, настольной ролевой игрой или другими игровыми сервисами.

Границы подтверждённого объёма данных не следует считать окончательными. В этой записи данные платёжных карт, банковских счетов, официальных удостоверений личности, физических адресов, номеров телефонов, внутриигрового инвентаря и содержимое личных переписок не относятся к подтверждённым категориям. Поле пароля также следует рассматривать как хеш пароля, а не как пароль в открытом виде. Активность на сайте означает действия пользователя, связанные с сайтом; нельзя предполагать, что для каждого пользователя доступны сведения одинаковой подробности. Описание рисков должно ограничиваться этими подтверждёнными полями.

К группе наибольшего риска относятся игроки, у которых до 2013 года был аккаунт Dungeons & Dragons Online или связанный с ним веб-аккаунт. О людях, использующих одно и то же имя пользователя на форумах DDO, в других игровых сообществах, приложениях для общения или социальных сетях, легче составить профиль. Дата рождения и адрес электронной почты могут использоваться в поддельных сообщениях о восстановлении аккаунта или уведомлениях о старом игровом аккаунте. IP-адрес также может помочь адаптировать сообщение с учётом местоположения.

Игроки, использующие один и тот же пароль в разных сервисах, тоже подвержены риску. Даже если старый пароль DDO остался в аккаунте, который сегодня не выглядит активным, тот же пароль может по-прежнему использоваться в электронной почте, игровых магазинах, других MMO-аккаунтах или на форумах. Об игровых аккаунтах иногда надолго забывают, но списки друзей, игровая история, репутация имени пользователя и привязанная электронная почта могут делать их ценными для злоумышленников. Поэтому старые игровые пароли следует проверять наряду с паролями активных аккаунтов.

Если старый пароль от Dungeons & Dragons Online всё ещё используется в другом аккаунте, его следует немедленно изменить. Если тот же или похожий пароль использовался в электронной почте, игровом магазине, социальной сети, на форуме или в сервисе обмена сообщениями, для каждого аккаунта следует задать уникальный пароль. Основной аккаунт электронной почты необходимо защитить двухфакторной аутентификацией. Если доступ к старому игровому аккаунту сохранился, следует проверить привязанный адрес электронной почты, настройки восстановления доступа и историю сеансов.

Следует внимательно относиться к сообщениям о проверке игрового аккаунта, старых персонажах, блокировке аккаунта, бесплатных предметах, подозрительных сеансах или сбросе пароля. Даже если в сообщении правильно указаны имя пользователя, дата рождения или сведения о старом игровом аккаунте, это не делает его заслуживающим доверия. Вместо перехода по ссылке следует напрямую открыть адрес соответствующего сервиса. Поскольку наличие платёжной информации в этой утечке не подтверждено, вместо паники по поводу финансов следует сосредоточиться на завершении сброса пароля, защите электронной почты и проверке аккаунтов в игровых сообществах.

В долгосрочной перспективе игровые аккаунты, аккаунты на форумах и основной аккаунт электронной почты следует защищать разными паролями. Использование менеджера паролей помогает не оставлять старые игровые пароли в других аккаунтах. Одно и то же имя пользователя на всех платформах повышает риск сопоставления профилей; для важных аккаунтов предпочтительны разные имена пользователей и надёжные способы подтверждения личности. Неиспользуемые игровые аккаунты и аккаунты на форумах следует закрыть или хотя бы установить для них стойкие пароли.

Для администраторов платформ этот инцидент показывает, что к аккаунтам участников игровых сообществ нельзя относиться лишь как к развлекательным. Такие поля, как дата рождения, IP-адрес, имя пользователя и активность на сайте, необходимо защищать как персональные данные. Хеши паролей следует хранить с применением надёжных методов, старые системы форумов и аккаунтов (своевременно обновлять, доступ к пользовательским данным) ограничивать, а необычные перемещения данных, отслеживать. Даже если игровые аккаунты кажутся малозначительными, повторное использование паролей может затронуть другие аккаунты пользователя.

Если вы видите совпадение в этой записи, ваш аккаунт может быть среди 1 580 933 записей, связанных с утечкой данных Dungeons & Dragons Online. Совпадение не означает, что ваши платёжные данные, внутриигровые предметы или личные переписки были раскрыты. Подтверждённые поля, дата рождения, адрес электронной почты, IP-адрес, имя пользователя, активность на сайте и хеш пароля. Прежде всего выясните, где ещё вы использовали пароль, который был у вас в DDO примерно в 2013 году.

Если ваш старый пароль DDO используется в других аккаунтах, измените его. Включите двухэтапную проверку в аккаунте электронной почты, обновите данные для восстановления доступа к игровым аккаунтам и осторожно относитесь к персонализированным сообщениям, приходящим от того же имени пользователя. Правильный подход к утечке данных Dungeons & Dragons Online, не преувеличивать её масштаб, представляя её как полную утечку игрового инвентаря или платёжных данных, а устранить риски повторного использования старых паролей и защитить аккаунты в игровых сообществах, исходя из подтверждённых категорий данных аккаунтов.